Los fabricantes de smartphones Android evidencian su falta de diligencia frente a las vulnerabilidades

Project Zero, el equipo de Google dedicado a investigar y hallar fallos de seguridad, ha publicado varias vulnerabilidades que afectan a Android en los smartphones que emplean aceleradores gráficos Mali, los cuales están presentes, por ejemplo, en modelos de SoC Exynos. Project Zero suele dar un tiempo de gracia antes de hacer públicos sus hallazgos, pero en este caso la situación tiene pinta de ser más rocambolesca de lo habitual.

Los aceleradores gráficos Mali son creados por la propia ARM Holdings, compañía creadora y la matriz de la arquitectura de procesadores. ARM cumplió con su parte en los meses de julio y agosto a la hora de parchear las vulnerabilidades, pero fabricantes de smartphones como Samsung, Xiaomi, Oppo e incluso la propia Google (sí, esta denuncia viene desde dentro) no procedieron a hacer lo mismo, y al parecer Project Zero les dio de tiempo hasta principios de esta semana.

Los investigadores descubrieron cinco nuevos fallos de seguridad en junio y julio que señalaban directamente a ARM como la responsable de tener que corregirlos. Y la verdad es que dichos fallos son bastante graves, ya que uno conduce a problemas como la corrupción de la memoria del kernel, otro que las direcciones físicas de la memoria fueran reveladas al espacio del usuario y los tres restantes son del tipo de usar después de liberar la página física en la memoria.

Los fallos de usar después de liberar permiten a un atacante seguir leyendo y escribiendo páginas físicas después de que estas hayan sido devueltas al sistema y no solo eso, sino que además, forzando al kernel a reutilizar dichas páginas como tablas de páginas, un atacante puede hasta llegar a tener acceso completo al sistema, saltándose los mecanismos de permisos de Android y obteniendo un amplio acceso a los datos del usuario.

Tres meses después de que ARM solucionara los fallos de seguridad, el equipo de Project Zero descubrió que todos sus dispositivos de prueba seguían siendo vulnerables. Hasta el martes, los problemas no fueron mencionados en ningún boletín de seguridad posterior de los fabricantes de smartphones Android, así que se supone que siguen estando expuestos a unos posibles ataques con consecuencias catastróficas.

De momento parece que Samsung, Google, Oppo y Xiaomi (y posiblemente muchos más) no han publicado la correspondiente actualización de seguridad para corregir las vulnerabilidades que afectan al driver usado por Android para los aceleradores gráficos Mali. Desgraciadamente, aquí nos encontramos con el escenario de siempre, y es que los smartphones Android, por lo general, suelen estar pésimamente mantenidos por las compañías responsables, con parches de seguridad que se sirven con retraso y tiempos de soporte que son de risa.