Error podría permitir a los atacantes secuestrar Firefox para Android

Iniciado por Dragora, Septiembre 22, 2020, 02:37:07 AM

Tema anterior - Siguiente tema

0 Miembros y 1 Visitante están viendo este tema.

Septiembre 22, 2020, 02:37:07 AM Ultima modificación: Septiembre 22, 2020, 02:39:03 AM por Dragora

Estimados usuarios de Android, si utilizan el navegador web Firefox en sus teléfonos inteligentes, asegúrese de que se haya actualizado a la versión 80 o la última versión disponible en Google Play Store.

El investigador de seguridad de ESET, Lukas Stefanko, tuiteó ayer una alerta que demuestra la explotación de una vulnerabilidad de ejecución remota de comandos de alto riesgo revelada recientemente que afecta a la aplicación Firefox para Android.

Descubierta originalmente por el investigador de seguridad australiano Chris Moberly , la vulnerabilidad reside en el motor SSDP del navegador que puede ser explotado por un atacante para apuntar a los teléfonos inteligentes Android conectados a la misma red Wi-Fi que el atacante, con la aplicación Firefox instalada.

SSDP, siglas de Simple Service Discovery Protocol, es un protocolo basado en UDP que forma parte de UPnP para encontrar otros dispositivos en una red. En Android, Firefox envía periódicamente mensajes de descubrimiento SSDP a otros dispositivos conectados a la misma red, buscando dispositivos de segunda pantalla para transmitir.

Cualquier dispositivo de la red local puede responder a estas transmisiones y proporcionar una ubicación para obtener información detallada en un dispositivo UPnP, después de lo cual, Firefox intenta acceder a esa ubicación, esperando encontrar un archivo XML que cumpla con las especificaciones UPnP.



Según el informe de vulnerabilidad que Moberly envió al equipo de Firefox, se puede engañar al motor SSDP de los navegadores Firefox de las víctimas para que active un intento de Android simplemente reemplazando la ubicación del archivo XML en los paquetes de respuesta con un mensaje especialmente diseñado que apunta a un Android. intent URI.

Para ello, un atacante conectado a una red Wi-Fi específica puede ejecutar un servidor SSDP malicioso en su dispositivo y activar comandos basados ​​en la intención en dispositivos Android cercanos a través de Firefox, sin requerir ninguna interacción de las víctimas.

Las actividades permitidas por la intención también incluyen el inicio automático del navegador y la apertura de cualquier URL definida, lo que, según los investigadores, es suficiente para engañar a las víctimas para que proporcionen sus credenciales, instalen aplicaciones maliciosas y otras actividades maliciosas basadas en los escenarios circundantes.

"El objetivo simplemente debe tener la aplicación Firefox ejecutándose en su teléfono. No necesita acceder a sitios web maliciosos ni hacer clic en ningún enlace malicioso. No se requiere la instalación de una aplicación maliciosa o atacante en el medio. Simplemente pueden estar bebiendo café mientras está en el Wi-Fi de un café, y su dispositivo comenzará a lanzar URI de la aplicación bajo el control del atacante ", dijo Moberly.



"Podría haber sido usado de una manera similar a los ataques de phishing donde un sitio malicioso es forzado al objetivo sin su conocimiento con la esperanza de que ingresen información confidencial o acepten instalar una aplicación maliciosa".

Moberly informó de esta vulnerabilidad al equipo de Firefox hace unas semanas, que el fabricante del navegador ahora ha parcheado en las versiones 80 y posteriores de Firefox para Android.

Moberly también ha lanzado un exploit de prueba de concepto al público que Stefanko usó para demostrar el problema en el video anterior contra tres dispositivos conectados a la misma red.

Via: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta