Investigadores del equipo de seguridad de IBM (vía Softpedia) descubrieron una vulnerabilidad en MIUI, versión del sistema operativo Android personalizada para los dispositivos Xiaomi, que permite la ejecución de código remoto por medio de la técnica de ataque por intermediario, gracias a una comunicación no cifrada.
PUBLICIDAD
Son cuatro las aplicaciones expuestas a esta vulnerabilidad en versiones anteriores a MIUI Global Stable 7.2, entre ellas el navegador predeterminado. Todas ellas contienen un componente encargado de recoger información sobre la experiencia del usuario, capaz de ser vulnerado para permitir la distribución de malware con permisos del sistema.
Dicho componente contiene un mecanismo de auto actualización que puede ser vulnerado mediante ataques de intermediario, ya que busca y descarga actualizaciones mediante una comunicación HTTP sin verificarlas, de tal manera que puede ser engañado para descargar un paquete con código malicioso.
Ya que Xiaomi es el tercer mayor fabricante de smartphones en el mundo, una buena cifra de los 70 millones de usuarios conseguidos en 2015 están expuestos. IBM reveló haber reportado este problema al fabricante chino en enero, lanzando de inmediato una actualización para poner fin a la vulnerabilidad.
Sin embargo, la preocupación persiste porque millones de dispositivos que por alguna u otra razón no han podido ser actualizados continúan expuestos a la vulnerabilidad de ejecución de código remoto. De seguir fracasando en el intento de actualización, sus dueños tendrán qué ver por nuevas maneras de prevención si desean seguir usando MIUI.