Detectada vulnerabilidad en el nuevo Android 4.4 KitKat
Tal y como comentamos el pasado mes de Julio, la empresa Bluebox Security descubrió una vulnerabilidad que afectaba al 99% de los dispositivos Android llamada «Android Master Key Vulnerability» que permitía a los hackers modificar cualquier aplicación legítima y firmada digitalmente con la finalidad de transformarla en un troyano que pueda usarse para robar datos o tomar el control del dispositivo.
Esta vez se ha descubierto una nueva vulnerabilidad en el recién anunciado Android 4.4 KitKat de la mano de Jay Freeman (también conocido como Saurik), creador de la aplicación «Cydia» que permite instalar software no firmado por Apple en dispositivos iOS con Jailbreak.
Saurik utilizó el código fuente del nuevo sistema sperativo que Google publicó en el Android Open Source Project en busca de nuevas vulnerabilidades. Al parecer Saurik habría descubierto una vulnerabilidad parecida a la encontrada durante el mes de Julio. Además se ha tomado la molestia de publicar una prueba de concepto escrita en Python.
Tal y como comentamos en este blog, la vulnerabilidad consistía (y consiste) en modificar el APK de una aplicación sin que se altere su firma criptográfica, de esta forma, el exploit de Saurik permite que el hacker obtenga acceso completo al dispositivo Android mediante la modificación de un APK del sistema sin que la firma se vea alterada. De este modo, un malware podría obtener acceso completo al dispositivo Android así como a las aplicaciones y datos del usuario.
A día de hoy no se conoce ninguna respuesta por parte de Google, aunque suponemos que se solucionará mediante una actualización OTA. Por otra parte, hay que tener en cuenta que la versión 4.4 sólo se ha lanzado (por ahora) para los dispositivos de la gama Nexus, por lo que no supone una gran amenaza a día de hoy, aunque eso no es motivo para bajar la alerta. Como siempre decimos, la mejor defensa es el sentido común, es decir, evitar instalar APKs sospechosas que no procedan de la tienda de aplicaciones de Google Play.
Espero que os haya gustado!
Artículo escrito por Gonzalo Toledano