Una vez más, lamentablemente, tenemos que hablar de una brecha de seguridad en el sistema operativo de Google que puede poner en riesgo la privacidad de los clientes de diferentes marcas de Android. Por suerte, es un fallo en el que ya se está trabajando para que afecte a los menos terminales posibles.
Seguramente no hayas oído hablar de ello, pero se ha descubierto un problema de seguridad que afecta a varios fabricantes de dispositivos Android, como ASUS, Fairphone, Lenovo, Microsoft, Nokia, Nothing y vivo. Se trata de CVE-2023-45779, una vulnerabilidad que podría permitir a un atacante tomar el control de tu dispositivo mediante una actualización falsificada de un componente del sistema operativo llamado APEX.
Tengo un móvil de estas marcas, ¿cómo me afecta?
Vamos a tratar de explicarte de la forma más sencilla lo que significan todos estos términos informáticos que pueden darte un vuelco a la cabeza. APEX son las siglas de Android Platform Extensions, una característica introducida en Android 10 que permite actualizar algunos módulos del sistema operativo sin necesidad de reiniciar el dispositivo, precisamente intentando mejorar la seguridad del usuario. Estos módulos incluyen componentes como la biblioteca de tiempo de ejecución ART, el motor de gráficos Skia o el marco de trabajo Conscrypt, entre otros. Tranquilo, no tienes por qué conocerlos.
Los módulos APEX se distribuyen como archivos APK firmados digitalmente por Google o por los fabricantes y se instalan en una partición especial del dispositivo llamada /apex, que solo puede ser modificada por el sistema operativo. De esta forma, se garantiza la integridad y la seguridad de estos módulos .
El problema con CVE-2023-45779 es que algunos fabricantes de dispositivos Android estaban firmando sus módulos APEX con claves de prueba que están disponibles públicamente en el código fuente abierto de Android (AOSP). Estas claves no son válidas para distribuir actualizaciones reales de APEX, sino que solo se usan para fines de desarrollo y pruebas. Esto significa que un usuario o atacante, mediante una aplicación maliciosa o un cable USB podría crear un archivo APEX falso con la misma clave de prueba y reemplazar el original en la partición /apex. Al hacerlo, podría ejecutar código malicioso a su antojo con privilegios específicos y obtener un control casi total sobre el dispositivo. Así se hacía eco Mishaal Rahman en X:
Mishaal Rahman@MishaalRahmanThe technical write-up for CVE-2023-45779 has been published by Tom Hebb of Meta’s Red Team X, revealing that several Android OEMs such as ASUS, Fairphone, Lenovo, Microsoft, Nokia, Nothing, and Vivo, were signing some of their APEX modules with the test keys publicly available… https://t.co/yxWETE6xI1 https://t.co/IzvtQ2x9Bw https://t.co/E0NauPEPyH30 de enero, 2024 • 17:28
193
2
¿Es grave, doctor?
Aunque este fallo de seguridad de Android suena muy peligroso, lo cierto es que no es tan fácil que te afecte, aunque eso no quiere decir que no pueda hacerlo. La clave aquí está en la dificultad para que esto suceda, ya que el atacante necesita tener acceso físico al dispositivo o engañar al usuario para que instale una aplicación maliciosa que le dé acceso al control del dispositivo. Además, el atacante necesita conocer la clave de prueba exacta que usó el fabricante para firmar el módulo APEX que quiere falsificar.
Lo bueno es que, al momento de saltar la noticia, la mayoría de los fabricantes afectados por CVE-2023-45779 ya han solucionado el problema con el parche de seguridad de diciembre de 2023. La solución ha sido tan sencilla como cambiar las claves de prueba por claves válidas y actualizar sus módulos APEX para evitar la falsificación.
Por eso, si tienes un dispositivo Android de alguno de estos fabricantes, te recomendamos que compruebes si tienes disponible esta actualización y la instales cuanto antes.
