Google ha lanzado recientemente una actualización que corrige una vulnerabilidad crítica en la implementación Bluetooth de Android. Identificada con el CVE-2020-0022, dicha vulnerabilidad afecta principalmente a dispositivos con las versiones Oreo (8.0 y 8.1) y Pie (9.0) del sistema operativo. La versión 10 no es explotable, pero sí susceptible a un ataque por denegación de servicio.
De acuerdo con la empresa de seguridad IT ERNW, quien ha reportado el problema a Google, tan solo es necesario estar en las proximidades de un dispositivo y conocer su dirección MAC Bluetooth para provocar una ejecución de código arbitrario en el mismo, sin necesidad de interacción alguna por parte del usuario.
La obtención de la dirección MAC Bluetooth del dispositivo que, por defecto, solo es visible a otros dispositivos desde la pantalla de configuración, en ocasiones se puede deducir a partir de la dirección MAC WiFi.
Esta vulnerabilidad puede provocar el robo de datos personales y, potencialmente, servir como pivote para infectar otros terminales cercanos, pudiendo provocar una infección en cadena.
Se recomienda instalar, a la mayor brevedad posible, la última revisión de seguridad publicada por cada fabricante. En caso de no estar disponible aún y, como medida de mitigación, se sugiere desconectar el Bluetooth o, en su defecto, desactivar la visibilidad del dispositivo.
Referencias
https://insinuator.net/2020/02/critical-bluetooth-vulnerability-in-android-cve-2020-0022/
https://source.android.com/security/bulletin/2020-02-01.html
Hola Julian,
Solo un matiz, Android Nougat corresponde a la ver. 7.0. Android 10, como tal, no tiene nombre, se le conoció como Android Q durante una primera fase y finalmente quedó como Android 10.
Un saludo y gracias por el curro en el blog!!