Séria falha de segurança é descoberta no Android

O pesquisador de segurança Charlie Miller apresentou na conferência hacker Schmoocon uma nova vulnerabilidade no sistema operacional móvel do Google, Android, que permite que hackers controlem o browser do telefone e outros processos remotamente. Assim que o telefone é “dominado”, os hackers são capazes de acessar credenciais salvas armazenadas no navegador e no histórico.

A vulnerabilidade é encontrada no interior do código escrito pela PacketVideo, uma empresa de software que contribuiu para uma versão aberta de sua aplicação de framework mutimídia para Android, sendo o subsistema de multimídia do browser.

Quando a falha foi descoberta, o Google foi notificado e, no dia 21 de janeiro, a empresa disse que uma correção seria emitida assim que ficasse disponível.

A correção está disponível desde o dia 7 de fevereiro, mas não foi levada aos telefones com Android. Na verdade, o pacote pode ser encontrado na fonte de registro de códigos do Google, o que faz com que o perigo pareça irrelevante.

Devido ao fato de a falha ter sido exposta há algum tempo, muitas pessoas querem saber por que não ouviram nada a respeito até o momento. Miller está recomendando que os donos de telefones com Android evitem usar o browser até que a correção seja disponibilizada.

A vulnerabilidade é muito séria e o vazamento pode ter consequências para todos os usuários envolvidos. Se você precisa utilizar seu telefone, está avisado para apenas visitar sites confiáveis através da rede T-Mobile (não use conexões Wi-Fi).

O Google emitiu o seguinte comunicado:

“Charlie Miller, um pesquisador de segurança da Independent Security Evaluators, contatou security@android.com em 21 de janeiro reportando um bug na biblioteca de mídia do OpenCore da PacketVideo que ele intencionava resolver no dia 7 de fevereiro.

Media libraries são extremamente complexas e podem levar a bugs, logo nós fizemos nosso mediaserver, que usa o OpenCore, para trabalhar no interior de sua sandbox de aplicação para que problemas de segurança no mediaserver não afetassem outras aplicações do telefone, como e-mail, browser, SMS e discador. Se o bug reportado por Charlie fosse explorado, estaria limitado ao mediaserver e apenas exploraria ações de performance do mediacenter, como ouvir e alterar alguma mídia de áudio e vídeo.

A Equipe de Segurança do Android respondeu contatando PacketVideo, T-Mobile e oCERT, uma equipe de segurança de emergência. O PacketVideo desenvolveu uma correção no dia 5 de fevereiro e o Android Open Source foi corrigido dois dias depois. oCERT ajudou o PacketVideo na coordenação da correção e foi publicado um aviso detalhando o problema. Nós oferecemos a correção a T-Mobile quando ela ficou disponível, e os usuários do G1 serão atualizados com discrição pela operadora.

Nós agradecemos aos nossos parceiros PacketVideo, oCERT, e T-Mobilepor seu compromisso e atenção em relação ao assunto”.

De algumas formas, o Android é muito mais seguro que outros sistemas operacionais. Sua arquitetura utiliza uma abordagem de sandbox que impede que códigos maliciosos injetados no browser consigam acessar e controlar partes do sistema operacional móvel. O problema é que alguns usuários podem acidentalmente dar permissão para aplicações maliciosas, fazendo com que seus telefones fiquem vulneráveis à falha.

Algumas pessoas ainda acham que o Android precisa fazer mais, já que a maioria das falhas de segurança descobertas dessa forma foi considerada séria.

Com informações do site TG Daily.