El equipo de Project Zero que está formado por ingenieros e investigadores de seguridad de Google encontró uno de los fallos de seguridad más grandes en Android de los últimos tiempos, pues incluso un portavoz de Google calificó este problema como de “alta gravedad” por el número de dispositivos afectados y por que esta vulnerabilidad parece que ya está siendo explotada por cibercriminales.
Incluso, el equipo de Project Zero normalmente acuerda publicar el descubrimiento de una vulnerabilidad 90 días después de reportarla a la empresa afectada, esto para que tengan tiempo de solucionarla antes de hacer pública la información, sin embargo, la gente de Project Zero le ha dado al equipo de Android 7 días para arreglar el problema, pues el reporte se hizo a dicho equipo el pasado 27 de septiembre.
¿Qué permite hacer esta vulnerabilidad?
En el reporte se indica que la vulnerabilidad reside en el código del kernel de Android, que es básicamente el corazón del sistema operativo, y puede aprovecharse para que un atacante obtenga acceso root al dispositivo.
En palabras más simples, esta vulnerabilidad logra que alguien tenga acceso total a tu equipo, y que incluso pueda controlarlo a distancia, todo esto sin que el usuario siquiera note que alguién más está accediendo a todos los datos del equipo.
La gente de Project Zero cree estar segura de que este exploit ya se está usando en el mundo real, razón por la que incluso dieron poco tiempo al equipo de Android para solucionarlo, pues era una situación de urgencia por el número de equipos afectados.
La lista de dispositivos afectados es la siguiente:
- Pixel 1
- Pixel 1 XL
- Pixel 2
- Pixel 2 XL
- Huawei P20
- Xiaomi Redmi 5A
- Xiaomi Redmi Note 5
- Xiaomi A1
- Oppo A3
- Moto Z3
- Teléfonos Android Oreo LG
- Samsung Galaxy S7
- Samsung Galaxy S8
- Samsung Galaxy S9
La lista es amplia, y se traduce en millones de afectados en todo el mundo, pero lo más grave es que el equipo de Project Zero dice que esta lista no es definitiva, así que puede haber más modelos afectados por esta vulnerabilidad.
De hecho, es probable que todos los equipos con Android 8.0 Oreo en adelante sean vulnerables a este exploit.
En el caso de Google y Samsung, ambas empresas ya lanzaron una actualización de seguridad que soluciona el problema, lo único que hay que hacer es instalar el último parche de seguridad de octubre de ambas compañías.
Google ya publicó el parche de seguridad para sus socios, pero depende de ellos lanzar la actualización a sus dispositivos.
Por otro lado, Google dejó claro que los Pixel 3 y Pixel 3a están fuera de peligro.
Un error que se cometió 2 veces
La propia Google mencionó que el mismo error había sido parcheado previamente en diciembre de 2017, sin embargo, volvió a aparecer en futuras versiones del kernel de Android, por lo que un descuido permitió volver a explotar la vulnerabilidad.
Asimismo, se cree que este exploit ha sido utilizado o vendido por el Grupo NSO en Israel, mismo que está implicado en software malicioso usado incluso por gobiernos para espiar a periodistas y activistas.
