Varias aplicaciones famosas de Android disponibles en la tienda Google Play Store son susceptibles a una vulnerabilidad asociada a la traversión de ruta que podría ser explotada por una aplicación maliciosa para sobrescribir archivos arbitrarios en el directorio principal de la aplicación vulnerable.
«Las implicaciones de este patrón de vulnerabilidad incluyen la ejecución de código arbitrario y el robo de tokens, dependiendo de la implementación de la aplicación», dijo Dimitrios Valsamaras del equipo de Inteligencia de Amenazas de Microsoft en un informe publicado el miércoles.
La explotación exitosa podría permitir que un atacante tome el control total del comportamiento de la aplicación y aproveche los tokens robados para obtener acceso no autorizado a las cuentas en línea de la víctima y otros datos.
Ciberseguridad Dos de las aplicaciones que se encontraron vulnerables al problema son las siguientes:
Xiaomi File Manager (com.mi. Android.globalFileexplorer) – Más de 1 mil millones de instalaciones WPS Office (cn.wps.moffice_eng) – Más de 500 millones de instalaciones Si bien Android implementa el aislamiento asignando a cada aplicación su propio espacio de datos y memoria dedicado, ofrece lo que se llama un proveedor de contenido para facilitar el intercambio de datos y archivos entre aplicaciones de manera segura. Pero los descuidos en la implementación podrían permitir la omisión de restricciones de lectura/escritura dentro del directorio principal de una aplicación.
«Este modelo basado en proveedores de contenido proporciona un mecanismo de intercambio de archivos bien definido, lo que permite que una aplicación servidora comparta sus archivos con otras aplicaciones de manera segura con un control detallado», dijo Valsamaras.
«Sin embargo, nos hemos encontrado frecuentemente con casos en los que la aplicación consumidora no valida el contenido del archivo que recibe y, lo más preocupante, utiliza el nombre de archivo proporcionado por la aplicación servidora para almacenar en caché el archivo recibido dentro del directorio de datos interno de la aplicación consumidora.»
Seguridad de Android Esta trampa puede tener consecuencias graves cuando una aplicación servidora declara una versión maliciosa de la clase FileProvider para habilitar el intercambio de archivos entre aplicaciones, y en última instancia, hace que la aplicación consumidora sobrescriba archivos críticos en su espacio de datos privados.
En otras palabras, el mecanismo aprovecha el hecho de que la aplicación consumidora confía ciegamente en la entrada para enviar cargas arbitrarias con un nombre de archivo específico mediante un intento personalizado y explícito y sin el conocimiento o consentimiento del usuario, lo que lleva a la ejecución de código.
Como resultado, esto podría permitir que un atacante sobrescriba el archivo de preferencias compartidas de la aplicación objetivo y haga que se comunique con un servidor bajo su control para extraer información sensible.
Ciberseguridad Otro escenario implica aplicaciones que cargan bibliotecas nativas desde su propio directorio de datos (en lugar de «/data/app-lib»), en cuyo caso una aplicación maliciosa podría aprovechar la debilidad mencionada anteriormente para sobrescribir una biblioteca nativa con código malicioso que se ejecuta cuando se carga la biblioteca.
Después de una divulgación responsable, tanto Xiaomi como WPS Office han corregido el problema a partir de febrero de 2024. Sin embargo, Microsoft dijo que el problema podría ser más prevalente, lo que requiere que los desarrolladores tomen medidas para verificar sus aplicaciones en busca de problemas similares.
Google también ha publicado su propia guía sobre el tema, instando a los desarrolladores a manejar correctamente el nombre de archivo proporcionado por la aplicación servidora.
«Cuando la aplicación cliente escribe el archivo recibido en el almacenamiento, debería ignorar el nombre de archivo proporcionado por la aplicación servidora y, en su lugar, usar un identificador único generado internamente como el nombre de archivo», dijo Google. «Si generar un nombre de archivo único no es práctico, la aplicación cliente debería desinfectar el nombre de archivo proporcionado.»
Esta vulnerabilidad se presenta en aplicaciones web que permiten la carga de archivos sin verificarlos adecuadamente mediante un sistema de seguridad que prevenga posibles riesgos. Esto posibilita que un atacante pueda cargar archivos con código, como scripts .php o .aspx, y ejecutarlos en el mismo servidor.
Las principales consecuencias de esta vulnerabilidad son:
Entre ellos, el último representa uno de los ataques más impactantes, ya que permite al agente malintencionado cargar un script en el servidor web para ejecutar comandos de forma remota. Esto pone en riesgo la disponibilidad, integridad y/o confidencialidad de los datos.
Para abordar esta vulnerabilidad, es crucial considerar los siguientes métodos:
CyberSOC es una abreviatura de Centro de Operaciones de Ciberseguridad (en inglés, Cybersecurity Operations Center). Un CyberSOC es un componente clave en la infraestructura de Ciberseguridad de una organización. Su función principal es Monitorear, Detectar, Analizar y Responder a Ciberamenazas en tiempo real. El Equipo de un CyberSOC está compuesto por profesionales con experiencia en análisis de amenazas, forense digital, inteligencia de amenazas y otros campos relacionados.
El Phishing Ético es una servicio que consiste en realizar actividades de Ingeniería Social con propósitos legítimos y éticos, generalmente como parte de una Campaña de Concientización, Evaluación de Seguridad, Prueba de un Pentesting o Red Team.
Para más información ingresa aquí: https://www.xpoint.cl/phishing-etico/
El Hacking Ético, Ethical Hacking o Pentesting es una práctica de ciberseguridad en la que profesionales, conocidos como «hackers éticos» o «expertos en seguridad», utilizan sus habilidades para identificar y corregir vulnerabilidades en sistemas, redes y aplicaciones. A diferencia de los hackers maliciosos, los hackers éticos trabajan con el permiso del propietario del sistema para mejorar su seguridad. El proceso de hacking ético generalmente incluye la evaluación de la seguridad, la identificación de posibles vulnerabilidades, la recomendación de soluciones y, a menudo, la realización de pruebas de penetración controladas para fortalecer la ciberseguridad de una organización. Este enfoque ayuda a prevenir ataques maliciosos y a proteger la integridad y privacidad de la información.
Un Red Team en ciberseguridad es un grupo de profesionales que simulan ser adversarios externos para evaluar la seguridad de un sistema o red. Utilizan tácticas similares a las de ciberdelincuentes reales, llevan a cabo pruebas de penetración, analizan riesgos y proporcionan recomendaciones para mejorar la seguridad. Su enfoque proactivo ayuda a las organizaciones a identificar y abordar vulnerabilidades, fortaleciendo así sus defensas contra amenazas potenciales.
La gestión de vulnerabilidades es un proceso integral que se centra en identificar, evaluar y abordar las debilidades en la seguridad de un sistema o red. Este proceso sigue varios pasos clave:
La gestión de vulnerabilidades es esencial para mantener la seguridad de la información en un entorno digital en constante cambio, minimizando el riesgo de explotación y fortaleciendo las defensas contra posibles amenazas.
