Microsoft ha revelado cuatro vulnerabilidades de alta gravedad en un marco utilizado por aplicaciones del sistema Android preinstaladas con millones de descargas.
Los problemas, ahora solucionados por su desarrollador israelí MCE Systems, podrían haber permitido potencialmente a los actores de amenazas realizar ataques remotos y locales o ser utilizados como vectores para obtener información confidencial aprovechando sus amplios privilegios del sistema.
"Como sucede con muchas de las aplicaciones preinstaladas o predeterminadas que vienen con la mayoría de los dispositivos Android en estos días, algunas de las aplicaciones afectadas no se pueden desinstalar o deshabilitar por completo sin obtener acceso de root al dispositivo", dijo el equipo de investigación de Microsoft 365 Defender en un informe publicado el viernes.
A las debilidades, que van desde la inyección de comandos hasta la escalada de privilegios locales, se les han asignado los identificadores CVE-2021-42598, CVE-2021-42599, CVE-2021-42600 y CVE-2021-42601, con puntajes CVSS entre 7.0 y 8.9.
Microsoft no reveló lista completa de aplicaciones vulnerables
Microsoft no reveló la lista completa de aplicaciones que utilizan el marco vulnerable en cuestión, que está diseñado para ofrecer mecanismos de autodiagnóstico para identificar y solucionar problemas que afectan a un dispositivo Android.
Esto también significó que el marco tenía amplios permisos de acceso, incluidos audio, cámara, energía, ubicación, datos de sensores y almacenamiento, para llevar a cabo sus funciones.
Junto con los problemas identificados en el servicio, Microsoft dijo que podría permitir que un atacante implante puertas traseras persistentes y tome el control.
Algunas de las aplicaciones afectadas son de grandes proveedores internacionales de servicios móviles como Telus, AT&T, Rogers, Freedom Mobile y Bell Canada.
Las aplicaciones susceptibles, aunque preinstaladas por los proveedores de telefonía, también están disponibles en Google Play Store y se dice que han superado los controles de seguridad automáticos de la tienda de aplicaciones sin generar ninguna señal de alerta porque el proceso no fue diseñado para detectar estos problemas, algo que ya se ha corregido.
En las noticias seguiremos las noticias más recientes de Microsoft como que busca un uso compartido de pantalla de Teams más interactivo.
Síguenos en Facebook y entérate de las noticias trend de la semana
No hay comentarios.:
Publicar un comentario