Google corrige un mistake de interacción sin usuario en el componente Bluetooth de Android


android-pattern-bw.png

Imagen: ZDNet

Google ha parcheado esta semana una falla de seguridad crítica en el componente Bluetooth de Android. Si se deja sin parchear, la vulnerabilidad puede explotarse sin ninguna interacción del usuario e incluso puede usarse para crear gusanos Bluetooth autoexpandibles, dijeron los expertos.

Las soluciones para el mistake están disponibles a través de Boletín de seguridad de Android de febrero de 2020, que ha estado disponible para descargar a partir de esta semana.

El error genuine se rastrea como CVE-2020-0022, y fue descubierto e informado a Google por expertos de la firma alemana de ciberseguridad ERNW.

Se puede usar para crear gusanos Bluetooth autoexpandibles

Los investigadores dijeron que explotar el mistake no requiere la interacción del usuario. Todo lo que se requiere es que el usuario tenga Bluetooth habilitado en su dispositivo.

Sin embargo, si bien este requisito habría limitado la superficie de ataque en los últimos años, no lo hace hoy, ya que las versiones modernas del sistema operativo Android se envían con Bluetooth habilitado de forma predeterminada y muchos usuarios de Android usan auriculares basados ​​en Bluetooth, lo que significa que es possible que el servicio Bluetooth esté habilitado en muchos auriculares

También se requiere proximidad a un objetivo, pero esto es implícito para cualquier tipo de explotación de Bluetooth.

Los investigadores de ERNW dicen que el mistake permite a un atacante «ejecutar silenciosamente código arbitrario con los privilegios del demonio Bluetooth».

«No se requiere interacción del usuario y solo se debe conocer la dirección MAC Bluetooth de los dispositivos de destino. Para algunos dispositivos, la dirección MAC Bluetooth se puede deducir de la dirección MAC WiFi», agregaron.

«Esta vulnerabilidad puede conducir al robo de datos personales y podría usarse para propagar malware (gusano de corta distancia)» los investigadores ERNW dijeron.

Bug funciona en Android 9 y versiones anteriores

La vulnerabilidad se probó con éxito en Android 8 y 9, pero los investigadores creen que las versiones anteriores también son probablemente vulnerables.

Sin embargo, CVE-2020-0022 no funciona en Android 10, donde solo causa un bloqueo del demonio Bluetooth.

El equipo de ERNW dijo que planea publicar detalles técnicos en profundidad sobre este error más adelante, pero, mientras tanto, les están dando una advertencia a los usuarios de Android y más tiempo para instalar las actualizaciones de seguridad de febrero de 2020.

Si los usuarios no pueden actualizar, por varias razones, pueden usar seguir reglas simples para evitar ataques:

  • Solo habilite Bluetooth si es estrictamente necesario.
  • Mantenga su dispositivo no reconocible. La mayoría de los dispositivos solo se pueden descubrir si ingresa al menú de escaneo de Bluetooth. Sin embargo, algunos teléfonos más antiguos pueden ser descubiertos permanentemente.

El equipo de ERNW también dijo que planean publicar código de prueba de concepto para reproducir el mistake, que probablemente será armado por algunos actores malos.



Enlace a la noticia unique