La mayoría de los usuarios de Android están una vez más en peligro de tener sus dispositivos comprometidos con sólo una vista previa de un archivo MP3 o MP4 diseñado con fines específicos.

Los investigadores de Zimperium fueron los que descubrieron la ejecución remota de código fácilmente explotable en la mediateca Stagefright a principios de este año, también están detrás de este último descubrimiento en la nueva Stagefright, apodada 2.0.

"La primera vulnerabilidad (en libutils) impacta a casi todos los dispositivos Android desde la versión 1.0 lanzada en 2008. Hemos encontrado métodos para disparar la vulnerabilidad en dispositivos que ejecutan la versión 5.0 y hasta el uso de la segunda vulnerabilidad (en libstagefright)", explicaron en un blog.

"Google asignó el identificador CVE-2.015-6602 a la vulnerabilidad en libutils. Tenemos la intención de compartir información CVE para la segunda vulnerabilidad tan pronto como esté disponible el parche."

Se estima que actualmente alrededor de mil millones de dispositivos Android son afectados por la falla en libutils, pero la vulnerabilidad libstagefright está presente en alrededor del 20 por ciento de ellos.

La mediateca Stagefright es utilizada por Android para procesar una serie de formatos de medios populares.

Las vulnerabilidades no se pueden activar a través de MMS (Mensajes Multimedia) como antes, pero puede ser a través del navegador o de una aplicación de terceros que utiliza la biblioteca vulnerable.

Google ha sido notificado del problema y ya está trabajando en un parche. Mientras tanto, los investigadores de Zimperium no tienen planeado liberar su código para pruebas de concepto al público, pero van a compartirlo con los socios de Zimperium Handset Alliance.

Por otra parte, los investigadores están seguros de que esto no es el final de las vulnerabilidades que afectan a esta biblioteca particular. "A medida que más y más investigadores han explorado diversas vulnerabilidades que existen dentro de la biblioteca Stagefright y bibliotecas asociadas, esperamos ver más vulnerabilidades en la misma zona", señalaron.

La empresa se ha comprometido a actualizar su aplicación Stagefright Detector para detectar esta vulnerabilidad tan pronto como Google libere un parche (está previsto su lanzamiento la próxima semana). Se espera que algunos fabricantes de dispositivos móviles cumplan sus promesas a la hora de enviar los parches con mayor rapidez y de manera regular.