Google soluciona 78 vulnerabilidades en Android

Google ha publicado el boletín de seguridad Android correspondiente al mes de octubre en el que corrige un total de 78 vulnerabilidades.

Google divide las vulnerabilidades corregidas en dos bloques principales en función de los componentes afectados. En el nivel de parches de seguridad 2016-10-01 ("2016-10-01 security patch level") se encuentran los que afectan al núcleo de servicios Android, controladores y componentes que todos los fabricantes de smartphones Android deberían incluir con mayor prioridad.

En este bloque se solucionan 20 vulnerabilidades, 15 de ellas de gravedad alta y otras cinco de importancia moderada. El problema más frecuente es la elevación de privilegios a través de diferentes componentes, como ServiceManager, Lock Settings Service, Mediaserver, proceso Zygote, APIs framework, Telephony, el servicio de Camara o el acceso por huella dactilar.

Por otra en el nivel de parches de seguridad 2016-10-05 ("2016-10-05 security patch level") se incluyen vulnerabilidades en controladores y componentes incluidos solo por algunos fabricantes en sus versiones de Android. En este bloque se solucionan 58 fallos en subsistemas del kernel, controladores y componentes OEM. 15 de las vulnerabilidades están consideradas críticas, 25 de gravedad alta, 17 de riesgo medio y una de nivel bajo. Cabe destacar que los componentes Qualcomm, seguido de NVIDIA, son los más afectados.

Las vulnerabilidades críticas incluyen la ejecución remota de código en el decodificador ASN.1 del kernel y en el subsistema de red del kernel, elevación de privilegios a través del controlador de vídeo MediaTek y del controlador de memoria compartida del kernel, así como 11 vulnerabilidades en componentes Qualcomm.

A pesar de las actualizaciones de Google para Android, estas solo llegan puntualmente a los dispositivos Nexus. Actualmente cabe señalar que otros fabricantes como Samsung también están aplicando las actualizaciones con periodicidad. Pero lamentablemente esto no ocurre con todos los fabricantes, por lo que las actualizaciones siguen siendo uno de los puntos débiles de Android.

Más información:

Android Security Bulletin—October 2016

https://source.android.com/security/bulletin/2016-10-01.html#2016-10-01-security-patch-level-vulnerability-details

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

El Mobile Pwn2Own 2014 revela vulnerabilidades en iPhone 5S, Galaxy S5, LG Nexus 5, Amazon Fire Phone y Windows Phone

En los días 11 y 12 de noviembre se ha celebrado el Mobile Pwn2Own 2014 el evento destinado a revelar vulnerabilidades para los dispositivos móviles de última generación. En esta ocasión han sido los iPhone 5S, Galaxy S5, LG Nexus 5, Amazon Fire Phone y Windows Phone los dispositivos en los que se han encontrado vulnerabilidades.

Organizado por HP Zero Day Initiative y el patrocinio del equipo de seguridad de Google Android y Blackberry, el evento celebrado en Tokio ha concluido con diversos equipos ganadores y cuantiosos premios en efectivo (había una bolsa de hasta 425.000$ para recompensas). Este año se han encontrado vulnerabilidades en todos los sistemas operativos móviles: iOS, Android y Windows Phone. Aunque hay que señalar que Windows Phone fue la única plataforma en la que no se llegó a tomar el control del dispositivo

En el primer día, cinco equipos, cinco objetivos y cinco intentos exitosos. Durante estos intentos, nueve nuevas vulnerabilidades explotadas. El primer ataque lo mostró el equipo lokihardt@ASRT (de Corea del Sur) que con una combinación de dos vulnerabilidades logró el compromiso de un Apple iPhone 5S a través del navegador Safari.

 lokihardt@ARST inició la competición. Fuente: ZDI

El segundo participante del día, el equipo MBSD que consiguió el compromiso del Samsung Galaxy S5 a través de NFC como vector para provocar un error de deserialización en cierto código específico de Samsung. Tras ello, Jon Butler del equipo sudafricano MWR InfoSecurity, también consiguió el compromiso de los Samsung Galaxy S5 a través del NFC, en esta ocasión mediante un error lógico.

Adam Laurie de Aperture Labs del Reino Unido también empleó un ataque al NFC en esta ocasión contra un LG Nexus 5 (dispositivo soportado por Google). Mediante una combinación de dos exploits demostró una forma de forzar el emparejamiento Bluetooth entre teléfonos. Para finalizar el primer día, el equipo MWR InfoSecurity formado por tres investigadores empleó una mezcla exitosa de tres vulnerabilidades contra el navegador web del Amazon Fire Phone.

El segundo día, se inició con Nico Joly, fue el único competidor de este año que intentó un ataque contra Windows Phone (un Lumia 1520) con un exploit dirigido al navegador. Y aunque consiguió extraer la base de datos de cookies, la sandbox aguantó el ataque y no fue capaz de hacerse con el control total del dispositivo.

Por último, Jüri Aedla, veterano de Pwn2Own que consiguió un ataque exitoso contra Firefox en el Pws2Own de Vancouver celebrado en primavera. En esta ocasión, presentó un ataque utilizando la WI-FI de su sistema objetivo (un Nexus 5 con Android). Sin embargo, no fue capaz de elevar sus privilegios más allá de su nivel original.

Tal y como marcan las reglas del Pwn2Own, todas las vulnerabilidades han sido reportadas de forma responsable y los fabricantes ya trabajan en actualizaciones para corregir estos problemas.

Más información:

Mobile Pwn2Own begins: Competitors and targets

http://h30499.www3.hp.com/t5/HP-Security-Research-Blog/Mobile-Pwn2Own-begins-Competitors-and-targets/ba-p/6669308

Mobile Pwn2Own 2014: The day one recap

http://h30499.www3.hp.com/t5/HP-Security-Research-Blog/Mobile-Pwn2Own-2014-The-day-one-recap/ba-p/6669592

Mobile Pwn2Own 2014: The day two recap

http://h30499.www3.hp.com/t5/HP-Security-Research-Blog/Mobile-Pwn2Own-2014-The-day-two-recap/ba-p/6670234

una-al-dia (16/03/2014) Los principales navegadores caen en el Pwn2Own 2014

http://unaaldia.hispasec.com/2014/03/los-principales-navegadores-caen-en-el.html

Antonio Ropero

antonior@hispasec.com

Twitter: @aropero

0class2DOS: denegación de servicio a terminales Google Nexus via SMS

Durante el certamen de seguridad informática DefCamp celebrado los días 29 y 30 de Noviembre en Bucarest (Rumania), se ha publicado una vulnerabilidad presente en todos los dispositivos Nexus de Google, que permitiría reiniciar o bloquear el terminal, independientemente de la versión Android 4.x que dispongan.

El investigador en seguridad Bogdan Alecu (@msecnet) ha demostrado la existencia de una vulnerabilidad remota de denegación de servicio en los terminales Nexus (Google Nexus, Nexus 4 y Nexus 5) y que afectaría a las versiones de Android 4.2, 4.3 y 4.4 para estos modelos, a través del envío de mensajes SMS de tipo Class 0.

Los mensajes Class 0 (también llamados Flash SMS), son un tipo especial de mensaje SMS que no llega a ser almacenado en el terminal, a menos que se configure lo contrario, y que se muestra de manera instantánea al destinatario. Son utilizados normalmente como avisos de operador para notificaciones de respuesta o emergencia.

Bogdan quiso probar la implementación de este tipo de mensajes y demostró que existía un límite a partir del cual el terminal dejaba de responder. Si se enviaban de manera masiva (entre 20-30) y en un corto periodo de tiempo, el terminal llega a reiniciarse como podemos ver en los siguientes vídeos, tanto en la versión 4.2 como la última 4.4:

Google Nexus Android 4.2 DOS de Msec Net en Vimeo.


Nexus 4 with Android KitKat vulnerability de Msec Net en Vimeo.

En otros casos, en vez de producirse el reinicio, la aplicación o el sistema de radio queda bloqueado por lo que no hay conectividad, quedando el usuario incomunicado y teniendo que reiniciar el terminal de manera manual. Como escenario teórico, Bogdan comenta la posibilidad de forzar la posible ejecución de código utilizando este ataque.

Uno de los escenarios en los que sí podría ser utilizado de manera factible sería en el robo bancario. Muchos bancos poseen alertas por SMS de diferentes tipos de transacciones realizadas, por lo que si un usuario estuviera infectado por un troyano que utilizara esta vulnerabilidad, no tendría aviso de las notificaciones de las transacciones fraudulentas que se están realizando hasta que consiguiera de nuevo conexión o se conectara con otro dispositivo.

La vulnerabilidad, según los tests realizados por Bogdan, es particular a los dispositivos de Google, ya que ha sido probada también en terminales Samsung o HTC sin ofrecer ningún resultado aparente. Por lo que se cree que debe existir un fallo en la implementación de mensajes Class 0 o en el firmware de la radio utilizada por Google para su gama Nexus.

Ya que la vulnerabilidad fue descubierta y reportada hace un año a Google y a tenor de los intentos infructuosos por parte del investigador para obtener una solución, que según Google sería ofrecida a la salida de la versión 4.3 de Android (hecho que no se ha producido finalmente), Bogdan decidió hacerla pública.

Por el momento, la única manera de evitar este ataque hasta la publicación de un nuevo firmware que lo solucione es utilizando herramientas que bloqueen o filtren este tipo de mensajes. Por ejemplo Class0Firewall, diseñada por Michael Mueller (@c0rnholio) en colaboración con Bogdan Alecu tras su alerta de la vulnerabilidad.

Más información:

DefCamp Bucharest 2013 Speakers

http://defcamp.ro/speakers/

Google Nexus Android 4.2 DOS

http://vimeo.com/69643571#at=0

Nexus 4 with Android KitKat vulnerability

http://vimeo.com/80539057#at=0

Class0Firewall

https://play.google.com/store/apps/details?id=com.silentservices.class0firewall

Google Nexus phones vulnerable to denial-of-service attack via SMS

http://www.pcworld.com/article/2067960/google-nexus-phones-vulnerable-to-denialofservice-attack-via-flash-sms-messages.html

Vulnerability In Nexus Phones Can Be Exploited To Force A Reboot Or Kill Cellular Connectivity

http://www.androidpolice.com/2013/11/29/sms-vulnerability-in-nexus-devices-can-be-exploited-to-force-a-reboot-or-kill-cellular-connectivity/

José Mesa Orihuela

jmesa@hispasec.com