La actualización de marzo de Android cierra 60 vulnerabilidades y corrige errores

El sistema operativo Android es considerado uno de los sistemas operativos más seguros de nuestro tiempo. Los desarrolladores de este sistema operativo en su sitio web oficial dicen que se ha trabajado mucho en el sistema operativo para hacer que la creación de exploits tradicionales no sea rentable, difícil e imposible. Surge la pregunta, ¿existen vulnerabilidades en el sistema operativo que podrían comprometer el sistema? ¿Serán estas vulnerabilidades diferentes de las vulnerabilidades de software estándar? ¿Se pueden encontrar estas vulnerabilidades en CWE TOP 25? ¿O hay vulnerabilidades únicas en Android? Este artículo es un intento de reunir varias vulnerabilidades en la plataforma Android en diferentes partes de su arquitectura para 2020.

Arquitectura del sistema operativo Android

Es imposible prescindir de una descripción, al menos superficial, del trabajo de este sistema operativo, pero intentaremos hacerlo lo más rápido posible. La siguiente imagen muestra la arquitectura del sistema operativo Android.

Una descripción detallada de la misma se puede encontrar aquí. Solo nos interesan 2 datos sobre la arquitectura:

Cada nivel de la arquitectura está separado del otro y realiza funciones en diferentes niveles de privilegio;

Todos los niveles de Android han absorbido lo mejor que había en el momento de la creación del sistema operativo de otros proyectos de código abierto en términos de seguridad.

Si combinamos estos dos hechos, resulta que para atacar este sistema operativo, es necesario que el atacante tenga 1 función vulnerable en su arsenal en cada uno de los niveles del sistema operativo. Esto complica seriamente el proceso de creación de un exploit para atacar el sistema operativo. Sin embargo, de todos modos, los investigadores de todo el mundo encuentran formas de atacar este sistema operativo y lo hacen con bastante éxito. Incluso hay un evento separado para esta actividad.

CVE-2020-0082

Vulnerabilidad en el sistema operativo Android 10. Si nos dirigimos a la clasificación general de vulnerabilidades CWE Top 25, entonces la vulnerabilidad se puede atribuir a la clase CWE-502. Esta clase de vulnerabilidades puede ocurrir tanto en aplicaciones web como de escritorio. La característica principal de la vulnerabilidad es el hecho de que se puede usar para inyectar código en una aplicación vulnerable completamente desapercibida para el sistema operativo y el usuario. Quizás esto se deba al hecho de que los objetos que se deserializan o ensamblan pueden describir una función de recopilador que puede ejecutar funciones derivadas. La vulnerabilidad se conoce desde hace mucho tiempo y, si las funciones de deserialización se usan sin cuidado, puede volverse crítica.

Esto es exactamente lo que sucedió en el sistema operativo Android. La explotación exitosa de la vulnerabilidad podría tomar el control del usuario privilegiado system_server.

La explotación de la vulnerabilidad es posible mediante la creación de un objeto Parsel para ” android.accounts.IAccountAuthenticatorResponse “.

CVE-2020-8913

Vulnerabilidad en la biblioteca Android Play Core. El receptor vulnerable permitía sobrescribir archivos y ejecutar código arbitrario en el sistema operativo. Vuelve a ser posible ejecutar el código debido a la deserialización de los datos que se transfieren a expensas del objeto Parcel. Fragmento de explotación utilizando la aplicación Google Chrome:

CVE-2020-8899

Vulnerabilidad en la biblioteca para analizar imágenes. Es imposible decir al 100% que se trata de una vulnerabilidad de Android, pero aún así esta versión del sistema operativo es muy popular. Utilizado en teléfonos Samsung.

Como sabe, varios proveedores de dispositivos móviles a menudo crean sus propias modificaciones del sistema operativo Android. y felizmente olvidarse de ellos.

La vulnerabilidad en este caso es que se produce la memoria del proceso y la aplicación que utiliza la función vulnerable para trabajar con imágenes. La caída es explotable y puede realizar cualquier operación en nombre de un usuario privilegiado del sistema operativo. La vulnerabilidad pertenece a la clase CWE-787.

READ
Sony no va a cambiar a Android Wear

CVE-2020-0022

Vulnerabilidad en la pila BlueTooth del sistema operativo Android 8 y 9. La vulnerabilidad le permite desactivar el sistema operativo. Clase de vulnerabilidad CWE-787.

Procesamiento incorrecto de la longitud del paquete. Para un desencadenante de vulnerabilidad, es suficiente enviar solicitudes de transmisión fragmentadas con una longitud de 300 y 33 bytes.

Hallazgos

Parece que incluso la separación de privilegios, el uso de las tecnologías más avanzadas no salva de los errores de software más comunes. El sistema operativo puede ser atacado con exploits clásicos de corrupción de memoria y análogos más modernos que usan mecanismos de sistema operativo.

Muy pronto iniciaremos cursos de desarrollo Android de dos niveles. Para obtener más información sobre los cursos, siga los enlaces a continuación.

¿Cuáles son las vulnerabilidades en el sistema operativo Android y el sistema operativo iOS, y cómo solucionar estas vulnerabilidades?

Muchos teléfonos inteligentes y tabletas esconden vulnerabilidades peligrosas, no todas las cuales el fabricante puede eliminar. Para protegerse, los dueños de los dispositivos tienen que tomar el asunto en sus propias manos.
Más de la mitad de todos los dispositivos Android tienen un gran agujero de seguridad. Esta vulnerabilidad permite a los piratas informáticos, entre otras cosas, ver el correo electrónico e incluso controlar los teléfonos móviles de forma remota. Este problema afecta a varios cientos de millones de usuarios. Pero algo más es aterrador: Google y la mayoría de los fabricantes de dispositivos los abandonan a su suerte.

La causa de la vulnerabilidad más peligrosa en Android es el componente WebView, si se usa en la versión 4.3 e inferior. Numerosas aplicaciones, así como el navegador predeterminado, lo utilizan para mostrar páginas web o anuncios publicitarios. Sin embargo, la interfaz está sujeta a ataques: el llamado cross-site scripting universal: una página web creada por un atacante modificada con su ayuda puede leer, por ejemplo, los correos electrónicos de un usuario si ingresó datos de acceso a su buzón de correo.

Esta vulnerabilidad, que afecta aproximadamente al 60 % de todos los dispositivos Android activos, puede resolverse o corregirse, pero no se espera asistencia de Google. La preocupación argumenta que en las versiones 4.4 y 5.0 supuestamente se soluciona el problema, por lo que se considera que se ha cumplido el deber. Sin embargo, muchos dispositivos que no son los más modernos no reciben actualizaciones de dichas versiones. Por lo tanto, sus propietarios deben tomar el asunto en sus propias manos. Las vulnerabilidades se esconden en iOS, que se considera protegido contra virus. A pesar de que la situación no es tan difícil como en el caso del sistema operativo móvil de Google, aquí los usuarios pueden fortalecer su seguridad de forma independiente. Te daremos las herramientas para protegerte.

Corrección de vulnerabilidades en el sistema operativo Android

Cambiamos de navegador

El riesgo al navegar por sitios web en un teléfono inteligente no solo depende de la versión del sistema operativo, sino también del navegador. En todas las versiones de Android anteriores a la 4.3, el navegador predeterminado usa un componente WebView altamente vulnerable para mostrar páginas, lo que abre la puerta de par en par a los piratas informáticos.

1. Comprueba la versión de Android

En primer lugar, debe asegurarse de que ninguna de las versiones peligrosas de Android esté instalada en su teléfono inteligente o tableta. Todas las versiones de Android 2.2 llamada Froyo a 4.3 llamada Jelly Bean están en riesgo. Utilizan un motor WebView vulnerable, WebKit, al que, entre otras cosas, se accede mediante el navegador estándar de Android. Solo las versiones de Android 4.4 y superiores tienen una versión segura de WebView integrada: Blink, un motor para el navegador Chrome. Por lo tanto, en ningún caso acceda a los sitios utilizando un navegador web instalado en el sistema por defecto si su teléfono inteligente tiene una versión de Android inferior a 4.3. Si no sabe exactamente qué versión hay en el dispositivo, vaya a la configuración del sistema y haga clic en “Acerca del teléfono” o “Acerca de Tablet PC”. si en linea “Versión de Android” indicado “4.4” o “5.0”, no puedes leer esta sección del artículo: estás a salvo. En todos los demás casos, siga nuestras instrucciones.

READ
IOS o Android? ¡Ya no hay diferencia!

Versiones vulnerables del sistema operativo Android

2. Busque actualizaciones del fabricante

Ahora debe verificar si el fabricante del dispositivo ofrece una actualización a una versión segura de Android. Para ello, en la misma sección del menú “Acerca del teléfono” o “Acerca de Tablet PC” prensa “Actualizacion del sistema” y más “Buscar actualizaciones”. Si el teléfono inteligente o la tableta no encuentran una actualización, o la última versión disponible es inferior a la 4.4, quedan dos opciones para proteger su sistema: instalar un navegador alternativo o transferir manualmente el dispositivo a un firmware alternativo. Esta última solución, aunque más fiable, ya que soluciona el problema, y ​​no solo lo pasa por alto, no es baladí y difícilmente apta para usuarios inexpertos. En cualquier caso, lo más sencillo es utilizar un navegador que no esté tan afectado por la vulnerabilidad comentada al principio.

3. Instala un navegador alternativo

En principio, cualquier navegador con su propio motor, incluidos Chrome, Firefox, Opera y Dolphin, funcionará para eludir la vulnerabilidad de WebView. Sin embargo, para Chrome existe una limitación: Google no ofrece actualizaciones para este navegador si se utiliza en sistemas Android 4.0.4 e inferiores. Ni siquiera hay paquetes de seguridad. Por lo tanto, recomendamos Firefox ya que se actualiza regularmente. Puede instalar este navegador de la misma manera que otras aplicaciones a través de Play Market. Después de la instalación, debe seleccionarlo como navegador predeterminado para que en el futuro solo se muestre el contenido web usándolo. Para hacer esto, siga algún enlace, por ejemplo de un correo electrónico, en la ventana “¿Qué usar?” marque la casilla junto a la opción “Es siempre” y haga clic en el icono del navegador. Si el navegador se abre inmediatamente en lugar de este cuadro de diálogo, consulte el paso 4 de esta guía.

4. Eliminar el antiguo navegador predeterminado

Si no sabe cuál es su navegador predeterminado, o si otro navegador predeterminado vulnerable ya está configurado como predeterminado, debe restablecer esta configuración antes de configurar un nuevo navegador web alternativo seguro, como Firefox, como predeterminado. Para hacer esto, vaya a la configuración nuevamente y en la sección “Aplicaciones” prensa Gestión de aplicaciones. Ir a la pestaña “Todo” y seleccione el navegador del sistema predeterminado de la lista. En el menú que se abre, desplácese hasta la entrada “Iniciar por defecto” y presiona el botón “Eliminar valores predeterminados”. Ahora debe hacer que el nuevo navegador sea el programa predeterminado, como se describe en el paso 3. Si el cuadro de diálogo correspondiente aún no aparece, repita el paso 4 para todos los demás navegadores web instalados.

5. Navegador de terceros en aplicaciones

Pero no solo el navegador estándar accede al componente WebView. Muchas aplicaciones de terceros también lo utilizan para mostrar contenido web, por lo que deben protegerse de la vulnerabilidad. El problema puede afectar, entre otras cosas, a la aplicación de Facebook. Sin embargo, se puede configurar para mostrar páginas web solo en un navegador de terceros, eliminando por completo el acceso al componente WebView. Para hacer esto, en la aplicación, haga clic en el icono de configuración y desplácese hacia abajo hasta la sección “Configuraciones”. Seleccione una entrada “Configuraciones de la aplicación”. En “General” configuración activar la opción “Abrir enlaces con una aplicación de terceros”. Esta aplicación será el navegador que establezca como predeterminado de antemano.

READ
Launcher Samsung One UI 2.0 obtendrá todas las características principales de Android Q

Actualiza Android tú mismo

El uso de Safe Browser evita la vulnerabilidad más grave de WebView. Sin embargo, el riesgo persiste, ya que un pirata informático puede encontrar una escapatoria a través de banners publicitarios en las aplicaciones, porque la vulnerabilidad en sí no se ha solucionado. “Parchear” este agujero solo permite actualizar el sistema operativo a Android 4.4 y superior. Si el fabricante del dispositivo no ofrece una actualización oficial, sigue siendo posible instalar un sistema alternativo en el dispositivo, el llamado firmware personalizado (Custom ROM, CR).

Máxima precaución al rootear

Dado que la comunidad correspondiente está constantemente desarrollando firmware personalizado, se considera que su estado es el más actualizado. Sin embargo, la instalación de una versión alternativa de Android no puede llamarse trivial: el usuario necesitará derechos completos de superusuario, es decir, la raíz del dispositivo. Los propios fabricantes no otorgan tales derechos a sus clientes. Por supuesto, con buenas intenciones: se pueden realizar cambios fundamentales en un dispositivo pirateado, lo que en el peor de los casos conduce a una falla total de un teléfono inteligente o tableta. Por las mismas razones, los dispositivos después de la raíz pierden su garantía. Sin embargo, a veces, como en el caso de la vulnerabilidad WebView, el usuario simplemente no tiene elección. La mayor dificultad con esto es que el proceso raíz difiere según el fabricante y el dispositivo.

Se puede encontrar ayuda en los foros.

Para obtener instrucciones sobre cómo obtener derechos de root, le recomendamos que consulte foros especializados, como w4bsitXNUMX-dns.com/forum и forum.xda-developers.com. Aquí encontrará guías paso a paso actualizadas para la mayoría de los dispositivos.

Después de obtener acceso completo, debe instalar el programa Custom Recovery, que será necesario para ejecutar el firmware personalizado. Tenga cuidado: no todos los firmware funcionan con todas las versiones de Custom Recovery. Dado que el dispositivo, al instalar el firmware y, a menudo, durante la raíz, vuelve al estado de fábrica, no olvide hacer una copia de seguridad de los datos importantes primero.

Como regla general, la mayoría de los pasos para instalar firmware personalizado se realizan manualmente. Este proceso es complejo y lleva mucho tiempo. Sin embargo, para la versión CR de CyanogenMod, existe un instalador que se encarga de realizar todos los pasos necesarios. Hay un problema: este instalador solo funciona en smartphones Galaxy, dispositivos Nexus y HTC One. Los propietarios de otros modelos deben encontrar las instrucciones de instalación correspondientes en el sitio web wiki.cyanogenmod.org. La opción CyanogenMod, debido a su facilidad de uso, se recomienda para quienes instalan firmware personalizado por primera vez.

El firmware personalizado más popular basado en Android

A diferencia de otros firmware alternativos, funciona en la mayoría de los dispositivos. La última versión estable 11 se basa en Android 4.4. El software y las instrucciones se pueden encontrar en el sitio web www.cyanogenmod.org.

Una rama del proyecto CyanogenMod, basado en Android 4.4. Compatible con algunos modelos de Samsung, HTC y LG. Consulte el sitio web para obtener información sobre la instalación y los enlaces de descarga. omnirom.org.

Ofrece muchas opciones para personalizar la apariencia de la interfaz gráfica de usuario. Funciona oficialmente con unos 20 dispositivos, extraoficialmente con unos 60. Dirección del sitio web del desarrollador: aospa.co.

READ
Rusia fue atacada por un nuevo virus peligroso para teléfonos inteligentes

Android alternativo para usuarios que prefieren el máximo rendimiento a cualquier decoración. Busque las últimas versiones de firmware junto con las instrucciones de instalación en el sitio web slimroms.net.

Las aplicaciones de iOS pueden espiar

Apple está tratando de hacer creer a los usuarios que su sistema operativo móvil iOS no esconde ningún riesgo de seguridad. Es por eso que en marzo de 2015, los programas antivirus se eliminaron de la tienda de aplicaciones de la marca App Store. Explicación: Este tipo de aplicaciones pueden inducir a error al usuario de que supuestamente hay virus para iOS. Debido a que Apple verifica los productos de software de manera mucho más estricta que Google antes de ponerlos a disposición en la App Store, hay poco o ningún malware en iPhones y iPads. Sin embargo, incluso iOS no está exento de fallas: junto con la actualización a la última versión 8.3, Apple publicó una lista de casi 60 vulnerabilidades que fueron eliminadas en la nueva versión del sistema operativo, incluidos errores en el motor del navegador WebKit que permiten ataques usando ejecución remota de código (Ejecución remota de código).

Apple iOS tiene suficientes vulnerabilidades

Apple arregló recientemente una vulnerabilidad grave en iOS que permitía a los atacantes deshabilitar dispositivos provocando un bloqueo continuo de todas las aplicaciones instaladas y del propio sistema operativo. Es cierto que para hacer esto, el pirata informático tuvo que obligar a la víctima del ataque a cambiar la configuración del servidor proxy del dispositivo. Esto se puede hacer, por ejemplo, con la ayuda de un enrutador inalámbrico infectado, en cuya memoria se coloca un archivo de configuración especial para cambiar la configuración del iPhone o iPad, y métodos de ingeniería social que convencerán a la víctima de la necesidad de aplicar el nuevo ajustes.

El enfoque de Apple para lanzar actualizaciones es diferente al de los socios de Google: están desarrollados para casi todos los dispositivos, incluso los obsoletos. iOS 8.3 funciona en todos los modelos de iPhone hasta el iPhone 4s, lanzado hace tres años y medio. Sin embargo, esto también significa algo más: aquellos que ya no reciben actualizaciones deben soportar las vulnerabilidades o comprar un modelo más moderno. Pero aún puede obtener derechos de superusuario en los teléfonos inteligentes iPhone; en el caso de los dispositivos Apple, este proceso se denomina jailbreak. Permite, como mínimo, instalar aplicaciones que no están disponibles en la tienda oficial. Pero dado que Apple no ha verificado dichos productos, existe un alto riesgo de recibir un código malicioso en su teléfono.

Sin embargo, los programas legítimos, como descubrió el desarrollador de iOS Craig Hockenbury, también son peligrosos. Al igual que con Android, el problema con iOS es WebView, un componente del sistema que muestra contenido web a través de aplicaciones. Sin embargo, Apple usa una versión menos peligrosa del motor WebKit integrado que Google. De una forma u otra, al representar páginas con WebView, las aplicaciones de iOS obtienen acceso a datos de formulario como el nombre de usuario y la contraseña y, en teoría, pueden transmitirlos. Por lo tanto, Hawkerbury recomienda ingresar datos confidenciales solo en el navegador Safari.

La última versión de iOS 8.3 es la única función de seguridad. Sin embargo, el 22 % de los dispositivos Apple activos no recibirán esta actualización.

Versiones de iOS vulnerables

Windows móvil es seguro

En principio, no hay nada que decir sobre la seguridad de Windows Phone. Las vulnerabilidades actualmente conocidas prácticamente no son explotadas. La razón de esto es la baja prevalencia de este sistema operativo: Windows Phone ocupa apenas el 2,5% del mercado de sistemas operativos móviles, lo que hace que esta plataforma sea de poco interés para los piratas informáticos.

READ
Los agujeros en Android causan más ruido que daño, dice el director de seguridad de Android

Otra razón son los altos requisitos de seguridad que deben cumplir las aplicaciones y los dispositivos. “Microsoft controla las aplicaciones incluso más estrictamente que Apple”, explica Mike Morgenstern, experto en el campo de la seguridad informática en AV-Test. Tenga en cuenta que, a diferencia de los procesos de escritorio, Windows Phone es extremadamente limitado. “Incluso si alguien obtiene acceso a la aplicación, no podrá piratear el sistema durante mucho tiempo”, dice Morgenstern. Debido a que Microsoft actualiza sus dispositivos móviles con regularidad, Windows Phone es una excelente opción para los usuarios de teléfonos inteligentes preocupados por la seguridad.

Requisitos estrictos para el software y el hardware.

Microsoft impone mayores exigencias al hardware y software de los teléfonos inteligentes basados ​​en Windows Phone. Además, este sistema operativo móvil tiene mecanismos de seguridad avanzados incorporados. Todo esto convierte a los dispositivos con Windows Phone 8 en uno de los más resistentes a los hackers del mundo, lo que se confirma con la presencia de varios certificados. Por ejemplo, los dispositivos con este sistema operativo móvil cumplen totalmente con el estándar de seguridad estadounidense FIPS 140-2, que describe los requisitos para un sistema de encriptación y las medidas de seguridad relacionadas en dispositivos que trabajan con datos confidenciales sin un sello secreto.

Cuatro niveles de seguridad FIPS 140-2

El estándar del gobierno de EE. UU. FIPS 140-2 define cuatro niveles de seguridad para los módulos criptográficos, cada uno de los cuales cumple totalmente con los dispositivos basados ​​en el sistema operativo móvil Windows Phone 8.

  • Nivel 1. Hay requisitos generales para el equipo criptográfico. Por ejemplo, el hardware debe ser de calidad profesional, el software debe estar libre de errores graves y el cifrado debe utilizar un algoritmo aprobado.
  • Nivel 2. El dispositivo debe tener medios para detectar intrusiones físicas, como sellos de seguridad que hagan imposible desmontar el dispositivo, y un sistema de autenticación basado en funciones.
  • Nivel 3. En este nivel, se brinda protección contra la penetración física, que puede implementarse en forma de cajas reforzadas y circuitos especiales para restablecer la información almacenada en chips de cifrado cuando se abren los sellos de seguridad.
  • Nivel 4. El nivel más alto implica un sistema de protección contra intrusiones físicas con un alto grado de detección de accesos no autorizados al hardware y tomando las medidas de respuesta apropiadas.

Por ejemplo, todos los dispositivos con Windows Phone 8 tienen un módulo de cifrado de hardware Trusted Platform Module 2.0 (TPM) que almacena claves criptográficas para proteger los datos. Otra característica interesante del sistema operativo móvil de Microsoft es que todas las aplicaciones lanzadas en él, incluidas las del sistema, funcionan en su propio entorno aislado y obtienen acceso solo a los recursos que necesitan para funcionar por completo. A cada aplicación se le asigna su propio almacenamiento aislado para operaciones de E/S, y otras aplicaciones no pueden acceder a él. Por lo tanto, el robo de datos ingresados ​​por el usuario es extremadamente difícil. Por separado, vale la pena mencionar que el navegador Internet Explorer integrado se ejecuta en un entorno aislado separado y está equipado con mecanismos integrados para combatir los sitios de phishing.

Gracias a estas características, los teléfonos inteligentes con Windows Phone 8 son ampliamente utilizados donde es necesario evitar posibles filtraciones de datos confidenciales de gran valor: en agencias gubernamentales de todo el mundo, grandes corporaciones, etc.

Rating
( No ratings yet )
Like this post? Please share to your friends:
Leave a Reply

;-) :| :x :twisted: :smile: :shock: :sad: :roll: :razz: :oops: :o :mrgreen: :lol: :idea: :grin: :evil: :cry: :cool: :arrow: :???: :?: :!: