En la última versión de las aplicaciones para móviles de Dropbox y Google Drive se ha corregido un problema de salto de restricciones. Se han visto afectadas tanto las versiones para iOS como Android.
El investigador en seguridad de IBM, Roi Saltzman (@roisa) ha publicado su análisis sobre una vulnerabilidad presente en las versiones de Android e iOS de Dropbox y Google Drive, aplicaciones utilizadas para la sincronización y acceso remoto de documentos y ficheros.
Las versiones afectadas, que se ya se encuentran actualizadas, son:
* DropBox 1.4.6 (iOS) y 2.0.1 (Android)
* Google Drive 1.0.1 (iOS)
El fallo residía en una incorrecta gestión de las zonas de seguridad del navegador que permitía a scripts especialmente manipulados, ejecutarse con permisos de zonas privilegiadas del dispositivo (Cross-Zone Scripting).
Este es un ejemplo típico que ocurría en los navegadores de escritorio hace años. A través de ciertos scripts se permitía que el contenido originado desde la zona de «Internet» (que no debería disponer de muchos privilegios) se lanzara en la zona local (que dispone de mayores privilegios sobre el sistema, como por ejemplo a ficheros de sistema).La vulnerabilidad se presentaba exactamente en las clases UIWebView/WebView de iOS/Android respectivamente, que permiten utilizar un navegador embebido dentro de otra aplicación a modo de ventana para renderizar el contenido HTML, y en el modo que permitían tanto ejecutar automáticamente el código javascript presente en ese HTML como lanzarlo en una zona con permisos diferentes a la original. Con esto se obtiene acceso al DOM del navegador y se podría robar información sensible o tener acceso al sistema de ficheros al lanzarse desde una zona privilegiada (file://).
Para reproducir esta vulnerabilidad sólo seria necesario leer un fichero HTML especialmente manipulado. El atacante obtendría acceso a cualquier fichero que la aplicación pudiese leer. Dependiendo del sistema operativo, incluso podría llegar más lejos. Por ejemplo en iIOS se podrían robar las credenciales de Dropbox.
El investigador ha proporcionado el siguiente código como prueba de concepto:
Para solucionar la vulnerabilidad deben actualizarse a las últimas versiones disponibles:
Dropbox:
Google Drive:
Más información:
Old Habits Die Hard: Cross-Zone Scripting in Dropbox & Google Drive Mobile Apps:
José Mesa Orihuela
Deja un comentario