CSIRT Panam\u00e1 Aviso 2015-10- Vulnerabilidad Stagefright en Android
\nGravedad: Cr\u00edtica
\nFecha de publicaci\u00f3n: Octubre 02, 2015
\nFecha de modificaci\u00f3n: Octubre 02, 2015
\n\u00daltima revisi\u00f3n: Revisi\u00f3n A.
\nFuente: Zimperium Labs<\/p>\n
Sistemas Afectados
\nAndroid versiones desde 1.0 hasta 5.1.1<\/p>\n
\nI. Descripci\u00f3n
\nEn un amplio espectro de versiones (desde la 1.0 lanzada en 2008, hasta la \u00faltima 5.1.1 – Lollipop) existe una falla de seguridad en la forma en que Android procesa los metadatos de archivos de tipo mp3 y mp4 especialmente dise\u00f1ados, lo que puede permitir a la ejecuci\u00f3n remota de c\u00f3digo.
\nStagefright que se encuentra en la versi\u00f3n 2.0, es un conjunto de dos vulnerabilidades que se manifiestan en el procesamiento de determinados archivos de video mencionados anteriormente. Una deficiencia se encuentra en la biblioteca de Android llamada “Stagefright”, la cual puede ser explotada al enviar un mensaje multimedia (MMS) especialmente dise\u00f1ado; la otra falla descubierta recientemente por la empresa de seguridad Zimperium, est\u00e1 en la biblioteca de Android llamada “libutils”.<\/p>\n
Debido a que el vector de ataque a trav\u00e9s de los mensajes multimedia (MMS) fu\u00e9 bloqueado en versiones recientes de Android, el m\u00e9todo de explotaci\u00f3n m\u00e1s sencillo es a trav\u00e9s del navegador web. Los atacantes buscar\u00edan que las v\u00edctimas visitaran determinados sitios web que explotan el defecto a trav\u00e9s de correo electr\u00f3nico, mensajer\u00eda instant\u00e1nea o anuncios maliciosos en sitios web leg\u00edtimos. Otro vector de ataque que podr\u00eda ser utilizado son los reproductores multimedia de terceros o aplicaciones que dependan de la biblioteca de Android vulnerable.<\/p>\n
II. Impacto
\nComplejidad de Acceso: Media.
\nAutenticaci\u00f3n: No requerida para explotarla.
\nTipo de impacto: Compromiso total de la integridad del sistema + Compromiso total de la confidencialidad del sistema + Compromiso total de la disponibilidad del sistema.<\/p>\n
\nIII. Referencia a soluciones, herramientas e informaci\u00f3n<\/p>\n
IV. Informaci\u00f3n de contacto
\nCSIRT PANAMA
\nAutoridad Nacional para la Innovaci\u00f3n Gubernamental
\nE-Mail: info@cert.pa
\nWeb: http:\/\/www.cert.pa<\/p>\n
\n—–BEGIN PGP PUBLIC KEY BLOCK—–
\nVersion: GnuPG v2.0.17 (MingW32)<\/p>\n
mQENBE8C9KoBCAClkvrtdD08B1YgIntnK241GmWY7fRWtPn\/QIEG1+TLokEuOhw+
\nGq\/lK\/4NP9RzqpD57LcRUBiGgTmO\/5C9xkhVmxz2jid0h03fLorC84rAk2pOjr0i
\npbltETq9RCGhOWp13OV22x2yiIedBi05bzw3F+uLHhn9xKjmpBuZB6WO\/TuD52DH
\nKRZtwSvoaa61vL0bGnIf3lNGWkALWEC3lGBppby4D05N2FNfgfOFr1yOpxTaRaDh
\n4kOnoAEWVzppkTPyqSOkwXmgdma8D9yqD41Ffu8ypGTv+OOVO7jDq8tx9wVZEU+w
\npqBTzQcf0P0K7qO3igdHQxqHmqXsaJpbmvCBABEBAAG0KkNTSVJUIFBhbmFtYSAo
\nQ1NJUlQgUGFuYW1hKSA8aW5mb0BjZXJ0LnBhPokBOAQTAQIAIgUCTwL0qgIbDwYL
\nCQgHAwIGFQgCCQoLBBYCAwECHgECF4AACgkQ2YlXchbysSSPSQgAooUy3qSR\/YX2
\nH3USJ5VzrmnraHg5LIWRPIBD1PGrswjLE8hxdobPU\/uzi9LWnEcDscfFVKM\/K0Jt
\nbjeoESqCVFlpE0YXJWdDhy0m2WM410sDE2HVXbPhWGqrNeDb0VUV\/LWag1yYTj5w
\nkkxma4Tk5TqlhgL5su2PpjtTdFSHYD4N+4mu7g1GhRrrpz+u7ZRm3b\/WkAJg5FIg
\nU0MpPqUGAF5\/pc02ZB10FdxDwWyXAkwYUN+zfLiKzKOrBGkEw9+jvFGU+z76P9Zk
\n1XJIexpmkBYTxc+TOclhAp\/3HP4taoBHRMoR1q1YhdC++UgRSLmPLGn\/AB707JzN
\nQ80++q2kWQ==
\n=JUYg
\n—–END PGP PUBLIC KEY BLOCK—–<\/p>\n","protected":false},"excerpt":{"rendered":"
CSIRT Panam\u00e1 Aviso 2015-10- Vulnerabilidad Stagefright en Android Gravedad: Cr\u00edtica Fecha de publicaci\u00f3n: Octubre 02, 2015 Fecha de modificaci\u00f3n: Octubre 02, 2015 \u00daltima revisi\u00f3n: Revisi\u00f3n A. Fuente: Zimperium Labs Sistemas Afectados Android versiones desde 1.0…<\/p>\n","protected":false},"author":4,"featured_media":378,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[4],"tags":[33,8],"class_list":["post-377","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-avisos-de-seguridad","tag-android","tag-avisos"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/377","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=377"}],"version-history":[{"count":1,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/377\/revisions"}],"predecessor-version":[{"id":379,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/377\/revisions\/379"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/media\/378"}],"wp:attachment":[{"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=377"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=377"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=377"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}