Wish Wu, investigador de Trend Micro, identificó una vulnerabilidad en el componente del servidor multimedia que forma parte del sistema operativo Android, esta falla permite la ejecución arbitraria de código utilizando los mismos permisos que tiene asignados dicho componente.

Las versiones de este sistema operativo afectadas van desde la 2.3, Gingerbread, hasta la 5.1.1 Lollipop, lo que se traduce en cientos de millones de dispositivos vulnerables a ataques.

De acuerdo al análisis publicado por Trend Micro, la falla involucra el componente AudioEffect, que forma parte del servidor multimedia utilizado por el sistema operativo Android, este componente utiliza un esquema incorrecto para determinar la cantidad de datos que puede almacenar una variable. En un esquema vulnerable, es en la aplicación cliente donde se determina dicha capacidad, lo que permite a un atacante modificar ese parámetro para asignar más datos de los permitidos.

De esta forma el atacante modifica el tamaño de la variable pReplyData, que es enviada por el cliente, agrega código malicioso al valor de la variable y envía los datos al servidor multimedia para su procesamiento. Los datos son recibidos por la variable pCmdData, que también es modificada por el atacante, y el código malicio es ejecutado en el servidor con los permisos asignados a éste.

En la prueba de concepto de los investigadores se desarrolló una aplicación que no solicita permisos adicionales para su funcionamiento, lo que da una falsa sensación de seguridad al usuario final. Sin embargo, debido a que la falla permite a una aplicación maliciosa obtener los mismos permisos que el servidor multimedia, en un ataque real, una aplicación que parece inofensiva podría hacer uso de la cámara para tomar fotografías o videos, hacer uso del micrófono, entre otras acciones, y poner en riesgo la privacidad de las personas.

Ésta vulnerabilidad fue reportada al Equipo de Seguridad de Android el 19 de junio, quienes la catalogaron como de alta severidad, se le asignó el identificador CVE-2015-3842 y trabajaron para liberar un parche publicado el 1 de agosto. Sin embargo, debido al esquema que utilizan los proveedores de telefonía para desplegar actualizaciones a los dispositivos Android es probable que muchísimos dispositivos continúen expuestos a esta vulnerabilidad durante mucho tiempo.