Vulnerabilidad en android (4.3 y anteriores) permite la obtención de información altamente sensible

Una vulnerabilidad encontrada en el componente KeyStore de Android permite la inyección y ejecución de código, pudiendo obtenerse información sensible, como credenciales de desbloqueo o las claves maestras del dispositivo. Todas las versiones anteriores a Android 4.4 KitKat están afectadas.


Ver mas informacion al respecto, en inglés original, en Fuente:
http://securityintelligence.com/android-keystore-stack-buffer-overflow-to-keep-things-simple-buffers-are-always-larger-than-needed/


Traduccion automatica del Google de los posibles efectos:

"Explotar con éxito esta vulnerabilidad conduce a una ejecución de código malicioso en el marco del proceso de almacén de claves. Tal código puede:

1.- Fuga credenciales de bloqueo del dispositivo. Dado que la clave maestra se deriva de las credenciales de bloqueo, cada vez que se desbloquea el dispositivo, 'Android :: KeyStoreProxy :: password' se llama a las credenciales.

2.- Leak descifra claves maestras, datos y hardware respaldados identificadores clave de la memoria.

3.- Fuga llaves maestras cifrados, datos y hardware respaldados identificadores clave del disco para un ataque sin conexión.

4.- Interactuar con el hardware de almacenamiento con respaldo y realizar operaciones de cifrado (por ejemplo, la firma de datos arbitrarios) en nombre del usuario."


saludos

ms, 29-6-2014