Google acaba de lanzar el listado de cambios de su boletín de seguridad más reciente para Android, en el que han solucionado cerca de doce bugs, cinco de los cuales estaban catalogados como de severidad crítica en lo que respectaba a la seguridad de los dispositivos. Desde que Google anunció y comenzó a ofrecer actualizaciones de seguridad mensuales para Android, la compañía ha estado parcheando el bug que afectaba al RCE (Remote Code Execution) desde su componente de Mediaserver cada mes. Lo hizo en septiembre (CVE-2015-3864), en octubvre (15 bugs en libstagefright, parte de Mediaserver), in noviembre (CVE-2015-6608), diciembre (CVE-2015-6616), y ahora de nuevo en enero (CVE-2015-6636). Algunos usuarios muy inteligentes dicen que ya es hora de que Google se replantee su componente Mediaserver, especialmente al haber sido el punto de origen de las dos primeras vulnerabilidades relacionadas con Stagefright que afectaron a cerca de mil millones de dispostivos; primero en agosto y luego en octubre. Por supuesto, se encuentran bugs muy a menudo en todo tipo de productos de software; pero con la frecuencia y severidad con la que los investigadores de seguridad sugieren que le sucede al Mediaserver de Android. Desde que Google anunció sus planes para migrar el código de Android desde Java hasta OpenJDK, parece que ha llegado el momento perfecto para hacerlo.
El último RCE de Mediaserver tenía trazas de Stagefright
El problema más reciente afecta sólo a dispositivos que funcionan con la versión de Android 5.0 o superiores, y Google ha declarado que las funcionalidades afectadas se proveen como una parte central del sistema operativo y hay muchas aplicaciones que permiten que se alcance contenido remoto, como pueden ser los MMS o la reproducción de contenido a través del navegador.
Esto significa que, al igual que con los casos de Stagefright, un atacante puede crear una imagen maliciosa, o un audio o archivo de video y enviarlo a través de un MMS o reproducirlo desde el navegador del usuario mismo.
Cuando esto sucede, se hace un exploit de un bug de memoria corrupto y los atacante spueden ejecutar código remoto en el dispositivo. Teniendo en cuenta sus habilidades para trabajar con los loopholes del sistema Android, podrían tomar control de dispositivos que hayan marcado como objetivo. Los mismos investigadores de Google descubrieron este problema y la compañía ha dicho que todavía no ha visto ningún ataque que se haya producido al explotar este error por ahora. Aunque, desde luego, solucionarlo debería ser la prioridad de la compañía.
