Una vulnerabilidad detectada en un componente de los módems de Qualcomm ha puesto en peligro a cerca del 30% de los teléfonos Android del mercado, según informa The Record. Dicha vulnerabilidad, publicada en un informe de Check Point y reconocida por Qualcomm, permitiría a los ciberdelincuentes parchear el módem para inyectar código malicioso, obteniendo así acceso al historial de llamadas y registro de mensajería del usuario.
Del mismo modo, Check Point afirma que, aprovechando esta vulnerabilidad, también se podría escuchar las propias conversaciones de los usuarios y desbloquear la tarjeta SIM. Qualcomm, en respuesta a la firma de seguridad, asegura que ya han enviado un parche para solucionar el problema, pero que cae en el tejado de los fabricantes el aplicarlo o no.
«UN ATACANTE PUEDE USAR ESTA VULNERABILIDAD PARA INYECTAR CÓDIGO MALICIOSO EN EL MÓDEM DESDE ANDROID. ESTO LE DA AL ATACANTE ACCESO AL HISTORIAL DE LLAMADAS Y SMS DEL USUARIO, ASÍ COMO LA CAPACIDAD DE ESCUCHAR LAS CONVERSIONES. UN ATACANTE PUEDE APROVECHAR ESTA VULNERABILIDAD PARA DESBLOQUEAR ASÍ, SALTÁNDOSE ASÍ LAS LIMITACIONES DE LOS PROVEEDORES DE SERVICIOS IMPUESTAS AL DISPOSITIVO MÓVIL.» CHECK POINT.
Dentro de los servicios incluidos en este protocolo, encontramos los servicios de voz, envío de mensajes SMS, acceso a la red, administración de los datos de la SIM y demás. De esta forma, si se logra vulnerar la seguridad del protocolo, se puede inyectar código malicioso y acceder a dichos datos.
Qualcomm, en respuesta al informe de los investigadores, afirmó a Check Point que se liberó un parche en diciembre de 2019 para solucionar este problema, pero que son los fabricantes Android los que deben aplicarlo. Los reportes no dejan claro si esto ya ha ocurrido, o si los fabricantes han hecho caso omiso a esta recomendación.
En otras palabras, si el fabricante no aplica dicho parche de seguridad, el dispositivo queda desprotegido. Los últimos datos sobre la distribución de versiones en Android indican una gran fragmentación, ya que son muchos los teléfonos que quedan sin actualizar y desprotegidos ante este tipo de amenazas.