Google revisa defectos críticos de procesamiento de medios en Android

Nuevos parches de seguridad para dispositivos Nexus de Google abordan siete vulnerabilidades, dos de las cuales son críticas y podrían permitir la ejecución remota de código cuando se manejan archivos multimedia.

Las actualizaciones, publicadas el lunes, son parte del ciclo de parches mensuales recientemente introducido por Google y están disponibles para dispositivos Nexus con Android 5.1 (Lollipop) y 6.0 (Marshmallow). El código fuente de las correcciones también se agregará al Android Open Source Project (AOSP) durante las próximas 48 horas.

Los errores más graves parcheados en esta versión se rastrean como CVE-2015-6608 y CVE-2015-6609. , y se encuentran en los componentes mediaserver y libutils de Android, respectivamente. Ambas vulnerabilidades pueden explotarse remotamente a través de archivos multimedia especialmente diseñados.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

Los hackers pueden explotar remotamente las vulnerabilidades de múltiples maneras, incluido el envío de mensajes MMS y engañar a los usuarios para jugar medios en el navegador.

Estos son solo los últimos en una serie de vulnerabilidades críticas encontradas y parcheadas en los componentes de reproducción de medios de Android desde julio, cuando una vulnerabilidad en una biblioteca llamada Stagefright condujo a un mayor esfuerzo de parche coordinado de fabricantes de dispositivos Android y hizo que Google, Samsung y LG introdujeran actualizaciones de seguridad mensuales. De hecho, otros tres defectos resueltos en esta nueva actualización que se clasifican como de alta gravedad se encuentran en mediaserver, libstagefright y libmedia, todos componentes de procesamiento de medios. Las dos vulnerabilidades restantes se encuentran en los componentes de Bluetooth y telefonía.

Google observa que su evaluación de gravedad no tiene en cuenta las medidas de mitigación que pueden dificultar la explotación de tales fallas. Incluyen las aplicaciones Verify y los servicios de SafetyNet que supervisan las aplicaciones potencialmente dañinas, deshabilitan el procesamiento automático de medios en aplicaciones como Google Hangouts y Messenger, y las técnicas contra la explotación presentes en las versiones más nuevas de Android.