Vulnerabilidades en Android que pueden arruinarte (CVE-2013-6272 & com.android.phone)

Se han anunciado dos nuevas vulnerabilidades en sistemas Android (anteriores a la versión 4.4.4) que podrían permitir a una aplicación maliciosa realizar llamadas a números de tarificación especial sin que
el usuario se percate de ello y aún sin permisos para ello.
Las dos vulnerabilidades, muy similares entre sí, han sido anunciadas por Curesec.  El primero de los problemas, con CVE-2013-6272, aparece en Android 4.1.1 Jelly Bean y se presenta en todas las versiones hasta Android 4.4.2 KitKat.

Reside en com.android.phone y todo parece indicar que se ha corregido en la última versión 4.4.4.
  
Por otra parte, una segunda vulnerabilidad (sin CVE asignado todavía) en com.android.contacts solo está presente en las versiones Android 2.3.3 y 2.3.6. Ambas vulnerabilidades son explotables de la misma forma con idénticos resultados.

Versiones afectadas







 


Podemos comprobar si nuestros dispositivos  están afectados por este fallo
Descargando e instalando esta aplicación de los chicos de Curesec.  
CRT-Kolme.apk (aplicación de prueba)

Después de la instalación basta con hacer clic sobre el logotipo de Curesec y la testscreen aparecerá. Elegimos el SDK que desea probar. Si su teléfono es vulnerable, se llamará al número 31337.

Podemos hacer uso del exploit en remoto con Drozer. Descarga Drozer aquí

dz_exploit (exploit archive cve-2013-6271, cve-2013-6272 and cve-2014-n/a)


tar xjf dz_exploits.tar.bz2 -C drozer/modules
adb forward tcp:31415 tcp:31415 
drozer console connect 
dz> run curesec.exploit.callme2 -t 




 dz> run curesec.exploit.callme1 -k kill 



 






Un saludo  !!

FUENTES:

http://www.blog.curesec.com
http://unaaldia.hispasec.com/2014/07/nuevas-vulnerabilidades-en-android.html

6 comentarios :

  1. Hola! El post esta genial gracias por realizarlo. ¿podrías explicar un poco como utilizar el exploit?
    Muchas gracias!

    ResponderEliminar
  2. si, si puedo que sistema operativo utilizas?

    ResponderEliminar
    Respuestas
    1. Hola! Si te refieres al dispositivo móvil, utilizo Android 4.0.4
      Gracias por atender a mi pregunta.
      Un saludo!

      Eliminar
  3. no me referia a eso.mira para utilizar el exploid, debes tener instalado en tu sistema operativo ya sea linux o windows. android dsk mas concretamente adb y tienes que instalar drozer que es un framework para auditar android, debes descargarte los exploits y descomprimilos en la carpeta de exploits de drozzer, (drozer/modules), arrancar drozer en modo consola y tipear los comandos tienes una descripcion en esta misma entrada y tambien en http://www.blog.curesec.com/article/blog/35.html espero haberte ayudado
    un saludo

    ResponderEliminar
  4. Hola! De sistema en el pc utilizo Windows xp, ya entendí bien como se hace, muchas gracias por tu ayuda!
    Un saludo!

    ResponderEliminar
  5. Hola, Cual seria la carpeta donde se descomprimen los exploits?, necesito solo eso, ayudaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa

    ResponderEliminar