Google ha publicado parches para dos nuevas vulnerabilidades relacionadas con Stagefright, una de las cuales afecta a las versiones de Android anteriores a 2008 y pone a millones de usuarios en situación de riesgo.

Las fallas fueron encontradas por la empresa de seguridad Zimperium, que también descubrió los fallos originales de Stagefright en abril.

En un anuncio Google dijo que no parecía que los atacantes hubieran comenzado a explotar las vulnerabilidades, aún.

Las últimas fallas son apenas ligeramente menos peligrosas que sus predecesoras, estas lograban que un dispositivo pudiera ser comprometido simplemente mediante el envío de un mensaje multimedia (MMS) especialmente diseñado. Un atacante sólo necesitaba saber el número de teléfono de la víctima.

Para explotar la última falla, apodada Stagefright 2.0, el atacante tendría que convencer a un usuario de visitar una página web y reproducir un fragmento de contenido de audio o vídeo.

Las vulnerabilidades están relacionadas con la forma en que Android procesa los metadatos dentro de ese contenido, dijo Zimperium en una entrada de su blog.

Google publicó una actualización over the air (OTA o actualizaciones enviadas directamente) para sus dispositivos Android Nexus, ya previamente había notificado a sus socios sobre el tema el 10 de septiembre, dijo la compañía.

Zimperium mantuvo a raya la publicación de la prueba concepto con el código de explotación, pero la compartirá con algunos de sus socios a finales de este mes, dijo.

En vista del número de usuarios afectados por Stagefright, Google dijo en agosto comenzaría a emitir parches de seguridad mensuales, una medida implementada desde hace años por empresas como Microsoft.

Aún así, la solución de problemas de software en los dispositivos móviles es un asunto desarticulado y los usuarios dependen de la aplicación puntual por parte de los fabricantes de dispositivos y operadores. Después del anuncio de Google, los principales fabricantes como Samsung y LG también se comprometieron a realizar parches de seguridad mensuales.