Nueva vulnerabilidad de Qualcomm afecta a millones de dispositivos Android

Una grave vulnerabilidad encontrada en los chips Mobile Station Modem (MSM) de Qualcomm podría permitir a los atacantes espiar a los usuarios. Los atacantes podrían acceder a los mensajes de texto de los usuarios de teléfonos móviles, el historial de llamadas y escuchar sus conversaciones. La vulnerabilidad también afecta a las últimas versiones de los chips con capacidad 5G.

Qualcomm MSM es una serie de sistemas en chips (SoC) con capacidad 2G, 3G, 4G y 5G. Los chips son utilizados en aproximadamente el 40% de los teléfonos móviles por múltiples proveedores, incluidos Samsung, Google, LG, OnePlus y Xiaomi.

“Si se hubiese explotado, la vulnerabilidad habría permitido a un atacante utilizar el sistema operativo Android como un punto de entrada. Los atacantes podrían haber inyectado código malicioso e invisible en los teléfonos”. Esto según los investigadores de Check Point que encontraron la vulnerabilidad identificada como CVE-2020-11292.

La falla de seguridad también podría permitir a los atacantes desbloquear el módulo de identificación del suscriptor (SIM). El módulo es utilizado por los dispositivos móviles para almacenar información de autenticación de red e información de contacto de forma segura.

Explotable por malware para evadir la detección

Para explotar CVE-2020-11292 y tomar el control del módem y parchearlo dinámicamente desde el procesador de la aplicación, los atacantes necesitan de otra vulnerabilidad. Los atacantes deben abusar de una vulnerabilidad de desbordamiento de montículo en la interfaz Qualcomm MSM Interface (QMI). QMI es utilizada por los procesadores móviles de las empresas para interactuar con el conjunto de software.

Las aplicaciones maliciosas también podrían usar la vulnerabilidad para ocultar su actividad detrás del propio chip del módem. Esto le permitiría hacerse invisible a las funciones de seguridad utilizadas por Android para detectar actividades maliciosas.

“En última instancia, demostramos que existía una vulnerabilidad peligrosa en estos chips. La vulnerabilidad revela cómo un atacante podría usar el sistema operativo Android para inyectar código malicioso en teléfonos móviles, sin ser detectado”.

Yaniv Balmas, jefe de investigación cibernética de Check Point

“En el futuro, esperamos que nuestra investigación abra la puerta para que otros investigadores de seguridad ayuden a Qualcomm. También deben ayudar a otros proveedores a crear chips mejores y más seguros, ayudándonos a fomentar una mejor protección y seguridad en línea para todos”.

Check Point reveló sus hallazgos a Qualcomm en octubre. Qualcomm posteriormente confirmó la investigación, calificó la vulnerabilidad de seguridad como una vulnerabilidad de alta gravedad y notificó a los proveedores relevantes.

Para protegerse contra el malware que explota este u otros errores de seguridad similares, Check Point aconseja a los usuarios que actualicen sus dispositivos a las últimas versiones del sistema operativo. Las últimas versiones generalmente vienen con actualizaciones de seguridad.

Además, solo instalar aplicaciones de las tiendas de aplicaciones oficiales debería minimizar en gran medida el riesgo de instalar accidentalmente aplicaciones maliciosas.

Puedes encontrar más detalles técnicos sobre la vulnerabilidad CVE-2020-11292  en el informe publicado hoy por Check Point.

Actualizaciones de seguridad enviadas a los OEM en diciembre

Después de recibir el informe de Check Point, Qualcomm desarrolló actualizaciones de seguridad para abordar el problema de seguridad CVE-2020-11292. La empresa las puso a disposición de todos los proveedores afectados dos meses después, en diciembre de 2020.

“Proporcionar tecnologías que respalden una seguridad y privacidad sólidas es una prioridad para Qualcomm”, afirmó un portavoz de Qualcomm.

“Felicitamos a los investigadores de seguridad de Check Point por utilizar prácticas de divulgación coordinadas estándar de la industria.

“Qualcomm Technologies puso las correcciones a disposición de los fabricantes de equipos originales (OEM´s) en diciembre de 2020. Y, alentamos a los usuarios finales a actualizar sus dispositivos a medida que las revisiones estén disponibles”.

Dado que Qualcomm envió parches para CVE-2020-11292 a OEM´s el año pasado, los usuarios de Android con dispositivos más nuevos que aún reciben actualizaciones de seguridad y del sistema deben estar protegidos contra cualquier intento de comprometer sus dispositivos actualizados.

Desafortunadamente, aquellos que no se han cambiado a un nuevo dispositivo con soporte para versiones más recientes de Android en los últimos años están expuestos.

Solo para poner las cosas en perspectiva, aproximadamente el 19% de todos los dispositivos Android todavía ejecutan Android Pie 9.0 (lanzado en agosto de 2018). Y, más del 9% aún ejecutan Android 8.1 Oreo (lanzado en diciembre de 2017), según los datos de StatCounter.

Otras vulnerabilidades

El año pasado, Qualcomm corrigió más vulnerabilidades que afectaban al chip Digital Signal Processor (DSP) del chip Snapdragon. La vulnerabilidad permitía a los atacantes tomar el control de los teléfonos inteligentes sin interacción del usuario, espiar a sus usuarios. Y, por si fuera poco, podían crear malware inamovible capaz de evadir la detección.

KrØØk, una vulnerabilidad de seguridad que podía usarse para descifrar algunos paquetes de redes inalámbricas cifradas con WPA2, también fue corregida por Qualcomm. Esta vulnerabilidad fue parcheada en julio de 2020.

Otra vulnerabilidad que podría permitir el acceso a datos críticos fue parcheada en el año 2019.   Además, dos vulnerabilidades en el firmware del SoC Snapdragon WLAN que permitía el compromiso OTA del módem y el kernel de Android se parchearon también en 2019.