Aplicaciones Android muy populares contienen vulnerabilidades críticas

Brechas de seguridad ya conocidas pueden persistir incluso en aplicaciones publicadas recientemente en Google Play. Así lo ponen de manifiesto investigadores de Check Point Software Technologies, que han descubierto que antiguas vulnerabilidades críticas siguen vigentes en cientos de aplicaciones Android, entre las que se encuentran algunas tan populares como Facebook, Instagram, Yahoo Browser o WeChat, las cuales podrían permitir a los ciberatacantes robar una gran cantidad de información relacionadas con estas apps y obtener los permisos de Android a los que la aplicación tiene acceso, como la ubicación del usuario o incluso leer conversaciones.

La investigación llevada a cabo por los investigadores de Check Point pone de manifiesto el hecho de que incluso las vulnerabilidades corregidas desde hace mucho tiempo pueden ser de importancia crítica, ya que el código obsoleto podría reutilizarse incluso en las aplicaciones más populares. La compañía ha analizado una muestra de tres vulnerabilidades de Ejecución de Código Arbitrario descubiertas entre 2014 y 2016 y solventadas hace años, y ha encontrado patrones conocidos asociados con versiones vulnerables de código abierto descubiertos con anterioridad. La investigación señala que hay cientos de aplicaciones en Google Play que pueden compartir este mismo error y, por tanto, ser vulnerables frente a fallos de seguridad del pasado.

Por otra parte, cabe destacar que en la actualidad Google sólo ofrece a los desarrolladores la oportunidad de actualizar aplicaciones, pero no obliga a modificar el código de terceros. Este es un hecho significativo, puesto que supone un grave riesgo para la seguridad de los usuarios.

Desde Check Point señalan que mantener actualizado el software del dispositivo y contar con la última versión disponible de todas las aplicaciones es una primera medida de seguridad. Sin embargo, como se desprende de la investigación de la compañía, las actualizaciones a nuevas versiones no son siempre garantía de seguridad, ya que en ocasiones es posible que no incorporen todas las correcciones de seguridad necesarias.

Según Eusebio Nieva, director técnico de Check Point para España y Portugal, “a pesar de que las tiendas de aplicaciones móviles y los desarrolladores analizan de forma proactiva estos programas en busca de patrones de malware, por lo general dedican menos atención a aquellas vulnerabilidades críticas conocidas desde hace tiempo. En este sentido, actualizar las aplicaciones es una medida de seguridad primaria, pero no ofrece una certeza absoluta de que el dispositivo se está protegiendo al máximo nivel, por lo que es fundamental contar con herramientas de seguridad adicionales que aporten una capa de seguridad extra”.