android_vulnerabilidad_1

Acaba de descubrirse una nueva vulnerabilidad que afecta en general a todos los smartphones con Android. Permite que un sitio web malicioso consiga todos los ficheros almacenados en la tarjeta de memoria SD insertada en el teléfono móvil. Además, ese fallo de seguridad también deja desprotegidos otros datos y ficheros guardados en el propio teléfono móvil.

El experto en seguridad, Thomas Cannon, ha descubierto esta vulnerabilidad y explica en su blog que es fruto de una mezcla de factores. En primer lugar, el navegador web de Android no avisa al usuario cuando descarga un fichero, sino que lo hace automáticamente. Utilizando un script de Java se puede lograr abrir dicho fichero automáticamente para que lo muestre el navegador. Cuando se abre un fichero HTML en ese contexto local, el navegador de Android ejecuta el script sin alertar al usuario. De ese modo, el script de Java puede leer los contenidos de los archivos y otros datos. Luego, los contenidos que ha leí­do el script de Java se pueden redirigir a un sitio web malicioso.

android_vulnerabilidad_2

Una limitación de este exploit es que necesitar conocer el nombre y la ruta de los ficheros que quiere robar. Sin embargo, varias aplicaciones de almacenamiento de datos en tarjetas SD ofrecen esa información, y los archivos en la tarjeta SD (más unos pocos del teléfono) están expuestos. Thomas Cannon ha contactado con los responsables de seguridad de Android, que están trabajando para solucionar la vulnerabilidad en la versión 2.3 (Gingerbread). Mientras tanto, Cannon ofrece varios consejos para tapar el agujero de seguridad.

Lo primero es vigilar si se produce cualquier descarga automática; aunque no haya notificación, no sucede de manera completamente silenciosa. También el usuario puede desactivar los scripts de Java dentro de la configuración de su navegador. Por otro lado, un navegador como Opera Mobile ofrece protección adicional, porque, avisa antes de descargar un archivo. Además, es más fácil que una compañí­a externa lance enseguida una actualización de su navegador que parchee una nueva vulnerabilidad que lo haga Google.

Mantente al día

De lunes a viernes mandamos un único newsletter con los titulares a +4.000 suscriptores

I will never give away, trade or sell your email address. You can unsubscribe at any time.