Falha em chip Qualcomm deixa vulnerável milhões de aparelhos Android | Computerworld
Falha em chip Qualcomm deixa vulnerável milhões de aparelhos Android
Corrigida em março, vulnerabilidade foi introduzida há cinco anos e ainda pode apresentar perigo para aparelhos mais antigos
06/05/2016 às 14h40 06/05/2016 às 14h40
Clique para copiar https://computerworld.com.br/2016/05/06/falha-em-chip-qualcomm-expoe-milhoes-de-aparelhos-android-risco/
Uma vulnerabilidade em um componente Android enviado com smartphones que usam chips da Qualcomm coloca em risco o histórico de mensagens e ligações dos usuários.
A falha foi descoberta por pesquisadores de segurança da FireEye e foi corrigida pela Qualcomm em março. No entanto, como a vulnerabilidade foi introduzida há cinco anos, muitos aparelhos provavelmente nunca receberão o patch porque não possuem mais suporte das fabricantes.
A vulnerabilidade, que é rastreada como CVE-2016-2060, fica localizada em um componente Android chamado "netd" que a Qualcomm modificou para fornecer capacidades adicionais de tethering. Aplicações maliciosas podiam explorar a falha para executar comandos como o usuário de sistema de "rádio", que possui privilégios especiais.
Uma vez que os chips da Qualcomm são bastante populares entre as fabricantes, os pesquisadores da FireEye estimam que centenas de modelos Android foram afetados. E como existem mais de 1,4 bilhão de aparelhos Android ativos no mundo, isso provavelmente significa que a falha está presente em milhões de dispositivos.
Segundo um aviso de segurança do Qualcomm Innovation Center, a falha afeta todos os lançamentos com Android Jelly Bean, KitKat e Lollipop.
Para explorar a vulnerabilidade, uma app maliciosa só precisaria da amplamente usada permissão "ACCESS_NETWORK_STATE" para acessar a API exposta pelo serviço modificado da Qualcomm. Isso torna mais difícil detectar tentativas de ataques.
"Qualquer aplicativo poderia interagir com essa API sem disparar nenhum alerta. A Google Play provavelmente não irá marcá-lo como malicioso, e o FireEye Mobile Threat Prevention (MTP) não detectou-o inicialmente. É difícil acreditar que qualquer antivírus alertaria sobre essa ameaça", afirma Jake Valletta, da Mandiant, uma subsidiária da FireEye.
Os aparelhos rodando o Android Kit Kat (4.4) ou mais recente são menos afetados do que aparelhos mais antigos porque eles já vem com o mecanismo Security Enhancements for Android (SEAndroid) habilitado como padrão. Isso torna quase impossível roubar dados de outros apps por meio dessa falha.
O Google incluiu a vulnerabilidade CVE-2016-2060 no seu boletim de segurança de maio publicado nesta semana.