De acordo com um pesquisador de segurança totalmente anônimo ( ou seja, bem estranho ) e o The Register mais de 10 milhões de usuários Android que estejam usando a CyanogenMod e vários derivados da mesma estão potencialmente vulneráveis a um tipo específico de ataque main-in-the-middle.

Outros usuários podem também estar vulneráveis mas o grupo já citado é o que está em primeiro plano já que boa parte das ROMs customizadas usam a CyanogenMod como base para suas implementações.

Apesar da notícia a equipe da CyanogenMod afirmou que as alegações do The Register são inválidas e garantiu que a CM 11 está bem protegida.

A suposta vulnerabilidade foi descoberta por um pesquisador anônimo que trabalha para um dos principais fornecedores ANDROID.

Desenvolvedores da CyanogenMod e outras equipes tinham tomado como base um código de exemplo do Java 1.5 da Oracle, que poderia resultar em um ataque MITM devido a uma verificação inválida do hostname no SSL.

O atacante pode então usar um navegador para executar código e roubar dados importantes como número de cartões de crédito etc.

CyanogenMod vulnerável a ataques

A falha foi descoberta em 2012 e discutida em muitas conferências de segurança. E de acordo com o pesquisador o código infelizmente ainda não foi corrigido e, também, o pesquisador forneceu uma prova de conceito exemplo sobre como usar a falha para obter controle do dispositivo:

“Se você vai criar um certificado SSL para um domínio que você possui, algo como evil.com e em um elemento de pedido de criação do certificado, como o campo de nome da organização você colocar o ‘value,cn=*nomededominio*’, este formato será aceito como nome de domínio válido para o certificado”, diz ele.

De acordo com o pesquisador o navegador da CyanogenMod parece não ter sido corrigido e é vulnerável ao ataque.

O time da Cyanogen no entanto, em uma declaração feita no seu blog rejeitou as alegações da vulnerabilidade como sendo totalmente imprecisas ( eu pessoalmente também achei meio estranhas ).

Segundo a equipe, só o Android 4.3 e abaixo podem ser atacados por este método ( o que por sinal não diminui o volume de pessoas que podem sofrer ataques em seus telefones, já que há diversos telefones ainda rodando esta versão do Android ).

E equipe garantiu que toma todos os relatórios de segurança como algo muito sério e que eles estão trabalhando para tornar a CyanogenMod a distribuição mais segura de Android disponível.

Esta falha já havia sido discutida a algum tempo atrás e inclusive, eu falhei em não publicar no blog. Mas a falha acima é bem parecida com esta aqui e no fim é fácil de ser resolvida.

Ao invés de usar o browser padrão do Android para suas atividades use o Firefox ou o Google Chrome, já que ambos não são afetados pelo problema pois a base de código que ambos usam é diferent da base de código do navegador padrão.

Esta é a grande vantagem de usar um sistema como o Android que é muito customizável. Se há uma falha em alguma parte do sistema é garantido que teremos como resolver facilmente o problema já que ele possui várias possibilidades de customização que resolvem o problema.

Via: The Register / XDA-Developers