 |
|
||
|
|
|
|||||||
| Sony Xperia S Subforo para hablar del novedoso Sony Xperia S |
 |
|
|
Herramientas |
|
#1
21/07/13, 01:05:37
|
||||
|
||||
Nueva vulnerabilidad en Android y nuevo parche - [Actualizado 27-07-2013] - Añadido tutorial para parchear
Hace un par de semanas, el compañero Segamalaga nos hablaba de una vulnerabilidad en Android, en el siguiente hilo está la información. (El tutorial para parchear lo encontraréis más abajo):
http://www.htcmania.com/showthread.php?t=643425
(Click para mostrar/ocultar)
Por cierto, dejo esto, me parece interesante: Aplicaciones de Android que explotan el fallo "master key" han sido encontradas en Google Play - (Bitdefender): http://www.hotforsecurity.com/blog/m...tore-6607.html
(Click para mostrar/ocultar)
First Malicious Use of 'Master Key' Android Vulnerability Discovered - (Norton): http://www.symantec.com/connect/blog...ity-discovered Master Keys and Vulnerabilities - (Kaspersky): http://www.securelist.com/en/blog/91...ulnerabilities -------------------------------------------------------------------------- Pues bien, hace unos dias ha salido a la luz una nueva vulnerabilidad(Bug 9695860), se puede comprobar con Bluebox o también con SRT AppScanner, para parchearla podemos usar Xposed(necesario Root) y el módulo (Master Key Dual Fix) o en su defecto ReKey, parchean ambos bugs, más información en XDA, y tutorial abajo en este mismo post: http://forum.xda-developers.com/show....php?t=2365294 Bug 9695860:
(Click para mostrar/ocultar)
Bluebox Security Scanner: https://play.google.com/store/apps/d...onerootscanner SRT AppScanner: https://play.google.com/store/apps/d...t.appintegrity -------------------------------------------------------------------------- Tutorial para parchear las vulnerabilidades encontradas hasta ahora: Las vulnerabilidades las están corrigiendo portando el código de las últimas versiones de Android que Google y los fabricantes están lanzando parcheadas, son parches provisionales, pero es mejor que nada, ya que Google de momento no se ha molestado en lanzar un parche universal, para versiones antiguas, ha dado la solución a los fabricantes y son ellos los que tiene que poner medios, como algunos no lo hacen, mejor que hayan personas en la comunidad y empresas de seguridad que intenten portarlas para parchear. Antes de usar Xposed, siempre es recomendable hacer o tener un Nandroid Backup a mano. Empezamos con el tutorial para Xposed y el módulo Master Key Dual Fix (quien tenga problemas con Xposed y el módulo, que use ReKey para parchear, la encontrará más abajo): Necesario acceso Root: Instalar Master Key Dual Fix y activarlo en Xposed: Nos vamos a XDA en el siguiente enlace: http://forum.xda-developers.com/show....php?t=1574401 Descargamos Xposedinstaller_2.1.4.apk que hay como adjunto. Instalamos Xposed, lo abrimos y le damos a "Install/Update", y reiniciamos dándole a Reboot. Descargamos e instalamos el modulo Master Key Dual Fix desde Google Play Store: https://play.google.com/store/apps/d...sterkeydualfix Ahora volvemos a ejecutar Xposed, nos vamos a la pestaña Modules y activamos Master Key Dual Fix. Por último escaneamos con los dos Scanners para ver que hemos parcheado los bugs: Bluebox Security Scanner: https://play.google.com/store/apps/d...onerootscanner SRT AppScanner: https://play.google.com/store/apps/d...t.appintegrity Y para quien tenga problemas con el módulo y Xposed puede parchear con "ReKey" (necesario Root): https://play.google.com/store/apps/d...ey.rekey&hl=es http://www.htcmania.com/showthread.php?t=646996 A continuación dejo unas capturas:
(Click para mostrar/ocultar)
Última edición por winsmel Día 27/07/13 a las 17:01:24. Razón: Añadir información 
|
| Los siguientes 16 usuarios han agradecido a winsmel su comentario: | ||
|
|
|
#3
21/07/13, 01:37:25
|
||||
|
||||
 Cita: Originalmente Escrito por metroid_x
Gracias por el aviso
Se supone ya jb ya tenía corregido un fallo  El otro bug si me lo detectó Bluebox como parcheado el otro día que vi el hilo de Segamalaga.
|
|
#4
21/07/13, 14:47:13
|
||||
|
||||
|
He editado el primer post del hilo, añadiendo un tutorial para parchear las vulnerabilidades y unas capturas.
|
| Gracias de parte de: | ||
|
#6
21/07/13, 18:45:38
|
||||
|
||||
|
Cita: Originalmente Escrito por Yakandu
tutorial apra no ser afectado por este bug: No te bajes apps de sitios que no debes.
 Cita:Si solo instalamos aplicaciones desde Google Play, estamos relativamente seguros. Porque entonces el atacante tendría que tomar el control de la cuenta del desarrollador de esa app, algo posible pero fácilmente detectable y evitable. Por lo tanto, si queremos evitar este tipo de ataques en la medida de lo posible, solo debemos instalar aplicaciones y actualizaciones que provengan de Google Play. Además, podemos configurar nuestro dispositivo para que solo acepte apps y actualizaciones de la tienda oficial. Para ello, nos vamos a Ajustes, Seguridad, y desmarcamos la opción “Orígenes desconocidos”.
Por supuesto, no es la solución definitiva, pero esta solo llegará cuando Google solucione el problema, algo que debería estar haciendo en estos mismos momentos ahora que el bug se ha hecho público. Una vez que aparezca la actualización del sistema, estaremos seguros hasta que aparezca otro error, tal es la naturaleza de la relación entre los hackers y los fabricantes. Última edición por winsmel Día 21/07/13 a las 19:05:17.
|
|
#9
22/07/13, 14:29:35
|
||||
|
||||
|
Cita: Originalmente Escrito por The Loko
¿El apk del módulo se puede desinstalar una vez parcheado? Gracias por el tutorial!
 No, hay que mantener tanto Xposed, como el módulo instalado y activado. Cita: Originalmente Escrito por pepeluone
Hecho , gracias por decirlo
|
|
#10
24/07/13, 03:32:11
|
||||
|
||||
|
no funciono para mi caso en particular aun detecta el segundo bug
|
|
#11
24/07/13, 03:37:04
|
||||
|
||||
|
Me fio menos de esto que de Rajoy. Seguro son "vulnerabilidades" que el usuario intenta corregir con un parque que diseñan terceros... NSA ,bienvenidos a Android.
__________________
En ese hueco donde se escuchan los ecos, los latidos sinceros y nuestros rostros en vilo. En ese hueco de paz, te querré para siempre.
Última edición por skater96 Día 24/07/13 a las 03:40:34.
|
|
#12
24/07/13, 11:26:35
|
||||
|
||||
|
Cita: Originalmente Escrito por skater96
Me fio menos de esto que de Rajoy. Seguro son "vulnerabilidades" que el usuario intenta corregir con un parque que diseñan terceros... NSA ,bienvenidos a Android.
Las vulnerabilidades las están corrigiendo portando el código de las últimas versiones de Android que Google y los fabricantes están lanzando parcheadas, son parches provisionales, pero es mejor que nada, ya que Google de momento no se ha molestado en lanzar un parche universal, para versiones antiguas, ha dado la solución a los fabricantes y son ellos los que tiene que poner medios, como algunos no lo hacen, mejor que hayan personas en el comunidad que intenten portarlas para parchear.
|
| Gracias de parte de: | ||
|
#13
24/07/13, 11:40:11
|
||||
|
||||
|
Por cierto, dejo esto, me parece interesante:
Aplicaciones de Android que explotan el fallo "master key" han sido encontradas en Google Play: http://news.softpedia.es/Aplicacione...ay-369160.html Cita:Mientras tanto, los expertos de Bitdefender han descubierto un par de aplicaciones bastante populares en Google Play que explotan la vulnerabilidad. Las aplicaciones en cuestión son Rose Wedding Cake Game (Más de 10.000 descargas) y Pirates Island Mahjong Free (Más de 5.000 descargas), ambas de las cuales han sido actualizadas a mediados de mayo.
Sin embargo, en este caso, el error no es aprovechado con fines maliciosos. "Las aplicaciones contienen dos archivos PNG duplicados que forman parte de la interfaz del juego. Esto significa que las aplicaciones no ejecutan código malicioso – simplemente están exponiendo el error de Android para sobrescribir un archivo de imagen en el paquete, probablemente por error", explicó Bogdan Botezatu de Bitdefender: http://www.bitdefender.com/presscenter/people "En contraste, la explotación malintencionada de este fallo se centra en reemplazar el código de la aplicación", señaló. Aunque las aplicaciones no son maliciosas, el descubrimiento muestra que las aplicaciones que aprovechan la vulnerabilidad de firma criptográfica no levantan sospechas al ser publicadas en Google Play. http://www.hotforsecurity.com/blog/m...tore-6607.html Google ya ha parcheado la vulnerabilidad y parece que los OEMs también están trabajando en ello. Sin embargo, debido a la fragmentación de Android, tomará algún tiempo hasta que el parche llegue a los usuarios finales. Por eso, los dueños de dispositivos con Android deben considerar las alternativas. Por ejemplo, los usuarios de CyanogenMod ya están protegidos contra la explotación. Duo Security ha lanzado una aplicación llamada ReKey que está diseñada para eliminar la vulnerabilidad en dispositivos arraigados. Además, Bitdefender y otros proveedores de soluciones de seguridad han actualizado sus productos móviles para Android para asegurarse de que detecten las aplicaciones que abusan del fallo “master key”. Y para quien tenga problemas con el módulo y Xposed puede parchear con "ReKey" (necesario Root): https://play.google.com/store/apps/d...ey.rekey&hl=es http://www.htcmania.com/showthread.php?t=646996 Ya añadiré más información al primer post, ahora no tengo tiempo. Última edición por winsmel Día 24/07/13 a las 13:04:30.
|
|
#14
25/07/13, 04:51:40
|
||||
|
||||
|
Cita: Originalmente Escrito por winsmel
Por cierto, dejo esto, me parece interesante:
Aplicaciones de Android que explotan el fallo "master key" han sido encontradas en Google Play: http://news.softpedia.es/Aplicacione...ay-369160.html Y para quien tenga problemas con el módulo y Xposed puede parchear con "ReKey" (necesario Root): https://play.google.com/store/apps/d...ey.rekey&hl=es http://www.htcmania.com/showthread.php?t=646996 Ya añadiré más información al primer post, ahora no tengo tiempo.
|
|
#15
25/07/13, 10:23:26
|
||||
|
||||
|
Cita: Originalmente Escrito por bernardo415
Gracias, parchado al fin cero vunerabilidad
|
|
#19
25/07/13, 23:11:00
|
||||
|
||||
|
Cita: Originalmente Escrito por Cortex_nano
A mi me sale esto!!
Cita: Originalmente Escrito por javier29
Ami me sale lo mismo pero si Boy. A Master key. Me sale k está activo
|
|
|
|
Estás aquí
|
||||||
|
||||||
![Array
[xs_avatar]](https://avatar.htcmania.com/avatares/avatar724514_6.gif){kind=avatar}
(que alguien me corrija si me equivoco):
. Sólo hay que tener un poco de cabeza y seguir los consejos de uno de los links que hay más arriba y hacer uso de "buenas prácticas" que todo el mundo ya debe conocer:![Array
[xs_avatar]](https://avatar.htcmania.com/avatares/avatar389521_1.gif){kind=avatar}
![Array
[xs_avatar]](https://avatar.htcmania.com/avatares/unknown.gif)
![Array
[xs_avatar]](https://avatar.htcmania.com/avatares/avatar1035889_1.gif){kind=avatar}
![Array
[xs_avatar]](https://avatar.htcmania.com/avatares/avatar895697_13.gif){kind=avatar}
![Array
[xs_avatar]](https://avatar.htcmania.com/avatares/avatar851488_1.gif){kind=avatar}
![Array
[xs_avatar]](https://avatar.htcmania.com/avatares/avatar680477_1.gif){kind=avatar}
![Array
[xs_avatar]](https://avatar.htcmania.com/avatares/avatar1042885_2.gif){kind=avatar}
