Expertos en seguridad informática de la Fundación Sadosky
descubrieron fallas en las versiones para Android de las aplicaciones PicsArt,
Mercado Libre y Prey Anti Robos. Las dos últimas fueron parchadas y
actualizadas.
Hasta el momento, Mercado Libre y Prey Anti Robos lanzaron
sus respectivas actualizaciones que resuelven los inconvenientes solucionados,
mientras que PicsArt aun es susceptible de recibir ataques, según informó el
Ministerio de Ciencia, Tecnología e Innovación Productiva en un comunicado.
PicsArt es una aplicación para smartphones con más de 45
millones de usuarios mensuales que permite sacar, editar y compartir
fotografías en redes sociales.
La falla reportada permite el acceso de un atacante a tomar
el control de la cuenta de un usuario cualquiera.
"La aplicación de PicsArt para Android no utilizaba
HTTPS para enviar datos sensibles a sus servidores. Después que la Fundación
reportara el problema a los desarrolladores, la aplicación empezó a utilizar
HTTPS pero sin validar los certificados SSL presentados por el servidor al
establecerse la comunicación, lo que permite realizar ataques de
intermediación", se explicó en el comunicado.
Además, el atacante podría acceder a los perfiles de redes
sociales en aquellos que hayan utilizado sus cuentas de Facebook o Twitter para
registrarse en la aplicación de fotografía.
Desde la Fundación recomiendan a los usuarios deshabilitar
el acceso de la aplicación PicsArt desde redes sociales y dejar de usar el
servicio hasta tanto el fabricante realice una versión que solucione el
problema.
Los hallazgos fueron realizados en el marco del proyecto
"Marvin", perteneciente al Programa de Seguridad en TIC de la
Fundación Sadosky, cuyo objetivo analizar las características de seguridad y
protección de datos de las aplicaciones para teléfonos móviles de uso más
frecuente o masivo.
"Realizamos investigaciones de aplicaciones de uso
masivo, por su gran cantidad de descargas tanto a nivel mundial como local, y
en sistemas operativos Android", explicó a Télam Iván Arce, director del
Programa de Seguridad en TIC de la Fundación Sadosky, del Ministerio de Ciencia
y Tecnología de la Nación.
"Buscamos determinar cuáles son las medidas de
seguridad en la aplicaciones y si los fabricantes toman recaudos en la
protección de datos de los usuarios", sostuvo Arce.
En cuanto al criterio de selección de aplicaciones para su
posterior análisis, Arce explicó que se basan en la cantidad de usuarios que la
utilizan o por los datos sensibles que administra.
Como ejemplo, detalló el caso de las app de entidades
bancarias o aquellas que permiten la comunicación por voz, que permite ser
interceptadas si presentan alguna falla.
Ante la detección de una vulnerabilidad en las aplicaciones
investigadas, los especialistas de la Fundación comienzan un proceso que
incluye la documentación y reportes de problemas de seguridad informática a los
desarrolladores o responsables del software.
El procedimiento, conocido como "Vulnerability
Disclosure", incluye la publicación y difusión de los resultados con el
fin de informar a los potenciales afectados para la protección y prevención de
sus datos privados.
En cuanto a la aplicación de Mercado Libre, la compañía puso
a disposición una nueva versión de su aplicación para Android (la 3.10.6) que
corrige la vulnerabilidad que permitía capturar información sensible de un
usuario como su nombre o datos de tarjetas de crédito.
De igual manera, Prey Anti Robos, la aplicación que se
utiliza para rastrear y localizar dispositivos que hayan sido robados o
perdidos; la falla permitía "subvertir el propósito de la
aplicación", según detallaron los especialistas.
Por este motivo, se recomienda a los usuarios que tengan
instalada versiones iguales o anteriores a las 1.1.3, actualizarla por la
última versión disponible.
En agosto pasado, se conoció otro caso en el que miembros de
la Fundación descubrieron una vulnerabilidad en la aplicación de la red social
Facebook, que permitía capturar videos y grabaciones de audio de otro usuario,
así como utilizarle de forma remota el teléfono para navegar la Internet.
En aquella ocasión, los investigadores se contactaron con
responsables de la red social, quienes las repararon y publicaron la
actualización de la app con las mejoras requeridas.
0 comentarios:
Publicar un comentario