Investigadores de IBM han descubierto una vulnerabilidad crítica de seguridad en Android 4.3 (Jelly Bean) que permite a los atacantes obtener información sensible como credenciales y llaves privadas de dispositivos vulnerables.

La vulnerabilidad se encuentra en el KeyStore del servicio de almacenamiento seguro de Android y puede ser utilizada para causar un desbordamiento de búfer basado en pila, lo que permitiría ejecutar código malicioso bajo el proceso de almacenamiento de llaves.

Al aprovechar este defecto, una aplicación maliciosa podría recolectar las credenciales de bloqueo de un dispositivo, las llaves maestras, que son datos e identificadores de llaves respaldados por hardware en la memoria y el disco. También podría interactuar con el almacenamiento respaldado por hardware  y realizar operaciones criptográficas (como la firma de datos arbitrarios) en nombre del usuario, según los investigadores.

Con el fin de hacer todo esto, la aplicación tendría que evitar el DEP (Data Execution Prevention) de Android y las características de protección ASLR (Address Space Layout Randomization), así como los stack canaries (usados para detectar un desbordamiento de pila antes de la ejecución de un código malicioso) y la codificación.

Aunque es posible, los investigadores de IBM no han visto aún que esta vulnerabilidad haya sido explotada por algún atacante.

La vulnerabilidad fue descubierta en septiembre pasado e inmediatamente revelada al equipo de seguridad de Android. Un parche para este fallo fue incluido en la nueva versión de Android (4.4 KitKat) unos meses después, así que se recomienda actualizar inmediatamente el sistema operativo. 

El porcentaje de usuarios que usan KitKat es del 13.6 %. Para más detalles acerca de esta vulnerabilidad, visite la entrada de blog de Roee Hay.