Google aborda más de 70 fallas en Android, incluyendo un problema de explotación remota

Google publicó parches para más de 70 vulnerabilidades de software en su boletín de seguridad de Android, de marzo de 2020, arreglando finalmente un exploit de seguridad para los chips de MediaTek que se dice que ha estado en estado salvaje durante meses, afectando a millones de dispositivos.

La vulnerabilidad, CVE-2020-0069, todavía no ha sido actualizada en la base de datos de MITRE CVE en el momento de escribir este artículo, pero el sitio de modificación de software de Android, XDA-Developers, dijo que los detalles han estado disponibles abiertamente en sus foros desde principios de 2019. La falla comenzó como una solución para enraizar las tabletas de fuego de Android, informó la compañía.

Google clasifica el CVE-2020-0069 como un error de elevación de privilegio en el controlador de cola de comandos de MediaTek, y sólo le da una clasificación de alta severidad en su boletín. Sin embargo, XDA-Developers lo clasifica como una vulnerabilidad crítica con una puntuación de 9.3, etiquetándolo como “MediaTek-su”.

El fallo permite a un atacante obtener acceso como root a un dispositivo Android sin desbloquear el cargador de arranque, dijo XDA-Developers, copiando un script en su dispositivo y ejecutándolo en un shell. Advierte que cualquier aplicación en un teléfono afectado podría copiar el script en su directorio privado y ejecutarlo para hacer de raíz el sistema.

El foro también cita a MediaTek diciendo que había parcheado el tema en mayo de 2019. El problema es que muchos fabricantes no han aplicado esos parches, advirtieron los desarrolladores de XDA:

Los chips de MediaTek alimentan cientos de modelos de teléfonos inteligentes de gama media y económica, tabletas baratas y decodificadores de marca, la mayoría de los cuales se venden sin la expectativa de actualizaciones oportunas del fabricante. Por lo tanto, es poco probable que muchos dispositivos que aún están afectados por MediaTek-su obtengan una solución durante semanas o meses después de la divulgación de hoy, si es que la obtienen.

Al acudir a Google en busca de ayuda, MediaTek puede aprovechar el músculo del creador de Android, según los desarrolladores de XDA, porque Google puede obligar a los fabricantes de equipos originales a actualizar sus dispositivos mediante acuerdos de licencia.

Este puede ser el error más controvertido del grupo, pero está lejos de ser el único grave. El boletín presenta dos juegos de parches (2020-03-01 y 2020-03-05), agrupados para que los fabricantes de Android puedan parchearlos más fácilmente.

El error más grave en el primer conjunto existe en el marco de los medios de comunicación. Este marco, que es parte de los servicios del sistema Android, maneja servicios como la cámara y la reproducción de archivos de audio y video. Este error de ejecución de código remoto (RCE) (CVE-2020-0032) afecta a los códecs de medios del sistema operativo. Las versiones 8, 8.1, 9 y 10 de Android son susceptibles.

La compañía también publicó detalles de otros dos bugs en el marco de los medios, ambos clasificados con alta severidad. Uno de ellos, CVE-2020-0033, era un error de elevación de privilegios, mientras que el otro era un error de divulgación de información.

Había siete errores en el marco del sistema, que maneja servicios como la búsqueda y la gestión de actividades. Todos ellos eran bugs de alta gravedad, que comprendían dos elevaciones de fallas de privilegios y cinco vulnerabilidades de divulgación de información.

Los únicos fallos críticos en el grupo de parches de 2020-03-05 fueron en los componentes de código cerrado del proveedor de chips Qualcomm, que representaban 48 de los fallos en el boletín de Android en general. Estos 16 errores críticos incluían varios errores de desbordamiento de búfer. Varios de estos errores críticos eran fallos de explotación remota del firmware de WLAN (CVE-2019-10546, 14031, 14083, 14086, 14097 y 14098), mientras que otros cinco (CVE-2019-10586, 10587, 10593, 10594 y 2317) afectaban al módem de datos del chip de Qualcomm.

También, pudo explotarse de forma remota un fallo de desferencia de puntero no fiable (CVE-2019-10612) en el núcleo, mientras que también se produjo un desbordamiento de búfer en el software de alimentación del núcleo de Qualcomm. Este error, CVE-2019-14030, sólo se podía explotar localmente, aunque, al igual que CVE-2019-14071, un fallo crítico en el componente de depuración del sistema de la empresa. Un error de desbordamiento de búfer en el procesamiento de video de Qualcomm (CVE-2019-14045) es explotable de forma remota, al igual que un error de Bluetooth (CVE-2019-14095).

Con información de: Europa Press.