Investigadores de seguridad de Rapid7 han descubierto un par de vulnerabilidades en la tienda Google Play que podrían permitir a los ciberdelincuentes instalar y lanzar aplicaciones maliciosas de forma remota en dispositivos móviles Android.
Tod Beardsley, que pertenece a la firma de seguridad, explicó que los atacantes pueden instalar cualquier aplicación arbitraria de Google Play Store en el dispositivo de las víctimas, incluso sin su consentimiento.
¿Cómo es posible?
Al parecer, sería factible explotando una vulnerabilidad que afectan a X-Frame-Options (XFO) con un fallo de WebView presente en versiones anteriores a Kitkat.
El problema incluye a los dispositivos móviles que funcionan con la versión Android 4.3 Jelly Bean y anteriores. Aunque no se descarta que afecte a otros dispositivos que ejecutan navegadores de terceros vulnerables.
¿Alguna solución o recomendación?
Para mitigar el problema de seguridad, se recomienda un navegador web no afectado por problemas UXSS (es decir, Google Chrome, Mozilla Firefox o Dolphin) y no estar logeado con una cuenta de Google cuando se hace uso del navegador en Android.
No se esperan parches para versiones 4.3 o anteriores (al igual que Apple no solucionará fallos de seguridad en IOS7 o anteriores). Así que, ojo al dato.
