Se acerca el final de un año caracterizado por la presencia de múltiples vulnerabilidades afectando al sistema operativo Android y, a pesar de que la mayoría de estos errores no representan mayores riesgos para los usuarios, existen algunas excepciones. Expertos en análisis de vulnerabilidades mencionan que, en el Informe de Seguridad de Android de diciembre se revelaron tres fallas de seguridad; una de estas fallas es considerada crítica, pues empleando un mensaje malicioso, podría causar una denegación de servicio (DoS) permanente.
La actualización para corregir estas fallas ya está disponible, la mala noticia es que no todos los dispositivos Android podrán ser actualizados a esta última versión del sistema operativo, además no todos los usuarios reciben la actualización al mismo tiempo.
Las últimas semanas han sido un tanto desalentadoras en términos de seguridad para los usuarios de Android. Recientemente se reveló una vulnerabilidad que, de ser explotada, permitiría a un actor de amenazas tomar control de un dispositivo de forma remota para activar la cámara y el micrófono y recolectar información de la víctima. Cientos de miles, o incluso millones de usuarios de Android permanecieron expuestos a esta falla hasta su corrección, aseguran los expertos en análisis de vulnerabilidades.
Posteriormente, se reveló que una actualización de Rich Communication Services (RCS) podría exponer a algunos usuarios de Android a la explotación de la vulnerabilidad “StrandHogg”, que podría brindar a los usuarios maliciosos acceso a mensajes de texto y contenido multimedia, además de la posibilidad de extraer las credenciales de inicio de sesión de los usuarios.
Un total de tres vulnerabilidades fueron reportadas en el Boletín de Seguridad de Android de diciembre, entre las cuales, destaca CVE-2019-2232 como la más peligrosa, pues se menciona que una validación incorrecta de “handleRun” podría conducir al bloqueo de aplicaciones.
Explicado de otra forma, usando un mensaje especialmente diseñado, un actor de amenazas podría generar una condición de denegación de servicio permanente en un dispositivo Android vulnerable, lo que podría conducir a la destrucción de todos los sistemas del dispositivo. Por si fuera poco, el ataque requiere mínima interacción del usuario, además los hackers no necesitan privilegios de ejecución adicionales. La vulnerabilidad afecta a las versiones de Android 8, 2.1, 9 y 10.
Sin embargo no todo son malas noticias, pues Google anunció que las correcciones para CVE-2019-2232 y las otras dos vulnerabilidades encontradas en el sistema operativo ya se encuentran disponibles en el repositorio de Android Open Source Project (AOSP).
El mayor contratiempo es que no todos los usuarios de Android recibirán la actualización, además de que la disponibilidad de estas correcciones depende del fabricante del dispositivo, mencionan los especialistas en análisis de vulnerabilidades. Los usuarios de Google Pixel dispondrán de las actualizaciones antes que los usuarios de cualquier otra compañía.
Los usuarios de los dispositivos de otros fabricantes más recientemente lanzados, como el nuevo Samsung Galaxy, también podrán acceder a estas correcciones en breve, mientras que algunos usuarios de dispositivos más antiguos podrían no recibir ninguna actualización.
En caso de que su dispositivo no reciba este conjunto de actualizaciones, especialistas en análisis de vulnerabilidades del Instituto Internacional de Seguridad Cibernética (IICS) mencionan que la mejor alternativa es tratar de adquirir un modelo más reciente, pues a pesar de que los dispositivos Android más antiguos no dejarán de funcionar, es importante estar protegidos contra las más recientes amenazas de seguridad en móviles.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
