Vulnerabilidad en Android permite evadir la funcionalidad de VPN

Una nueva vulnerabilidad descubierta en el sistema operativo móvil Android podría permitir que algún atacante desarrolle aplicaciones para evadir una conexión de Red Privada Virtual (VPN) y así, redirigir el tráfico en texto claro hacia el atacante. Investigadores de la universidad Ben Gurion de Israel aseguran que la vulnerabilidad puede ser explotada por medio de una aplicación desarrollada maliciosamente.

En una publicación hecha en el blog de seguridad de la Universidad, Dudu Mirman, director técnico ejecutivo del laboratorio de seguridad, escribió una aplicación potencialmente maliciosa capaz de evadir a una VPN sin requerir permisos de administración. Además, asegura que no existe un aviso para los usuarios en donde se diga que su información está siendo capturada durante la vulnerabilidad.

En una grabación en video, el investigador prueba el exploit en un teléfono Galaxy S4, sin embargo, otros dispositivos de distintos fabricantes también han sido afectados. En el video, el investigador ejecuta una herramienta de captura de paquetes de red en un equipo de escritorio conectado a la misma red que el celular. Mirman ejecuta la aplicación maliciosa, aprieta el botón para lanzar el exploit, habilita una conexión por VPN y manda un correo electrónico. Al mismo tiempo, en la computadora que está capturando paquetes, se muestra toda la información de tráfico del dispositivo.

La vulnerabilidad será reportada como una fuga de seguridad en la capa de transporte (TLS en inglés) y en tráfico de la capa de sockets seguros (SSL), a pesar de que la información permanece cifrada después de ser capturada. Mirman asegura que el fallo está comprobado en la mayoría de los dispositivos con Android versión 4.3 (Jelly Bean) y asegura que están en proceso de verificar el exploit en la versión más reciente de Android, la 4.4, denominada KitKat.
La vulnerabilidad ya ha sido reportada al equipo de seguridad de Android en Google el pasado 17 de enero y los detalles del fallo serán publicados por el investigador una vez que Google haya resuelto el problema. A la fecha de publicación de esta noticia, no se ha tenido una respuesta por parte de Google.

Esta investigación es un esfuerzo de parte de los Laboratorios de Seguridad Cibernética de la Universidad de Ben Gurion para poder descubrir vulnerabilidades de seguridad en móviles. El video en inglés se encuentra en este enlace.
 Fuente