Metade dos aparelhos Android continua com brecha corrigida há um ano

49,5% de todos os smartphones com Android↳Android46 conteúdosAndroid push notifications com Quasar Framework, Firebase e integração com WordPressDev (Back & Front) · mai 2019O X do Xamarin Forms – O guia das funcionalidades nativas - Parte 02: AndroidDev (Back & Front) · abr 2019Modularização de AndroidDev (Back & Front) · ago 2019Ver tudo em Dev (Back & Front) → continuam vulneráveis a uma falha de segurança corrigida em março de 2014. A informação foi divulgada na terça-feira, por um alerta publicado pela empresa de segurança Palo Alto Networks. O problema permite que um app “minta” sobre as permissões que outro aplicativo necessita para funcionar.

A brecha não garante mais permissões a um programa malicioso, mas impede que o usuário veja quais são as verdadeiras permissões que um app instalado necessita para funcionar. Assim, uma vítima pode autorizar a instalação de um programa malicioso pensando que ele não terá permissões para realizar qualquer atividade indevida.

Para explorar a falha, um criminoso precisa que o usuário instale um aplicativo que ele desenvolveu. O app promove um segundo aplicativo. Quando o usuário instala esse segundo aplicativo, o Android informa quais permissões ele requisita. No entanto, o aplicativo já instalado no celular modifica o programa de instalação do segundo aplicativo, permitindo que ele faça qualquer coisa, mesmo que o usuário não tenha dado a permissão.

Se um programa malicioso já estiver instalado no celular, ele pode modificar qualquer programa de instalação para conseguir permissões maiores do que as que foram informadas ao usuário.

Apenas programas fora da Google Play estão vulneráveis a essa modificação. Apps baixados da loja do Google ficam armazenados em uma área especial do celular que não pode ser acessada por qualquer app, impedindo a modificação.

A vulnerabilidade existe devido a um atraso entre a concessão da permissão e a instalação do programa. Ou seja, há uma “janela” entre o momento em que o usuário autoriza as permissões de um aplicativo e o momento em que o app é realmente instalado. Durante essa janela, o programa pode ser modificado e a permissão continuará valendo.

O problema foi descoberto pela Palo Alto Networks em janeiro de 2014. O Google criou uma correção em março de 2014, mas muitos aparelhos permanecem sem correção. Quando a falha está corrigida, o programa de instalação não permite que uma autorização de instalação continue valendo para um programa modificado.

A Palo Alto Networks disponibiliza um aplicativo de teste que indica se o celular está vulnerável ou não.

Com informações de G1