Una puesta en marcha de seguridad móvil ha encontrado siete fallas de seguridad en las aplicaciones móviles preinstaladas de Samsung, que dice que, si se abusa, podría haber permitido a los atacantes un amplio acceso a los datos personales de la víctima.
Oversecured dijo que las vulnerabilidades se encontraron en varias aplicaciones y componentes incluidos en los teléfonos y tabletas Samsung. El fundador de Oversecured Sergey Toshin le dijo a TechCrunch que las vulnerabilidades se verificaron en un Samsung Galaxy S10 +, pero que todos los dispositivos Samsung podrían verse potencialmente afectados porque las aplicaciones integradas son responsables de la funcionalidad del sistema.
Toshin dijo que las vulnerabilidades podrían haber permitido que una aplicación maliciosa en el mismo dispositivo robara las fotos, videos, contactos, registros de llamadas y mensajes de una víctima, y cambiara la configuración “sin el consentimiento o aviso del usuario” al secuestrar los permisos de las aplicaciones de Samsung.
Una de las fallas podría haber permitido el robo de datos al explotar una vulnerabilidad en la aplicación Carpeta segura de Samsung, que tiene un “gran conjunto” de derechos en todo el dispositivo. En una prueba de concepto, Toshin mostró que el error podría usarse para robar datos de contactos. Otro error en el software de seguridad Knox de Samsung podría haberse abusado para instalar otras aplicaciones maliciosas, mientras que un error en Samsung Dex podría haberse utilizado para extraer datos de las notificaciones de los usuarios de aplicaciones, bandejas de entrada de correo electrónico y mensajes.
Oversecured publicó los detalles técnicos de las vulnerabilidades en una publicación de blog y dijo que informó de los errores a Samsung, que los corrigió.
Samsung confirmó que las fallas afectaron a los dispositivos Galaxy “seleccionados”, pero no proporcionó una lista de dispositivos específicos. “No se han informado problemas conocidos a nivel mundial y los usuarios deben estar seguros de que su información confidencial no está en riesgo”, pero no proporcionó evidencia para esta afirmación. “Abordamos la vulnerabilidad potencial mediante el desarrollo y la emisión de parches de seguridad a través de la actualización de software en abril y mayo de 2021 tan pronto como identificamos este problema”.
La startup, que se lanzó a principios de este año después de autofinanciar $ 1 millón en pagos de recompensas por errores, utiliza la automatización para buscar vulnerabilidades en el código de Android. Toshin ha encontrado fallas de seguridad similares en TikTok y la aplicación Google Play de Android.
Source link