 |
Cabe destacar que el investigador que ha encontrado el fallo ya se ha puesto en contacto con los responsables de CyanogenMod para resolver este problema, por otra parte fácilmente subsanable, que deja desprotegidos y vulnerables ante ataques MitM a los usuarios de sus ROMs. En concreto, el investigador que ha comunicado este fallo, que se esconde tras el pseuodónimo Vulture South, ha mostrado su hallazgo en la Ruxcon, una conferencia de seguridad que tiene lugar en Melbourne. Indica que los creadores de CyanogenMod copiaron parte del código de Java 1.5.
Este código es el encargado de analizar los certificados y los nombres de los servidores, pero sufre de un viejo bug que lo hace vulnerable a los ataques antes mencionados. La vulnerabilidad, que se estima que puede afectar a los 10 millones de usuarios de CyanogenMod, es de las llamadas “Zero Day”, y permitiría a un atacante apuntar y colarse a través de cualquier navegador que se estuviera utilizando en el terminal. Este bug era descubierto en 2012 y hace poco, este mismo año, en las librerías Apache HTTP que carecían de la verificación SSL de los nombres de servidor. En la práctica, cualquier atacante puede utilizar el nombre de servidor que desee en un certificado SSL y este será aceptado por el terminal, abriendo así la puerta para los anteriormente mencionados ataques MitM.
Si bien todo software tiene sus fallos, se ha abierto cierto debate entre si la instalación de estas ROMs es más seguro que las imágenes de fábrica que llevan los terminales. No se puede decir que unos u otros tengan más seguridad, en ocasiones los esfuerzos, y los resultados, de los miembros de la scene son más destacables que los de las propias compañías.
Fuente: The Register
No hay comentarios:
Publicar un comentario