La investigación alertó sobre el riesgo asociado al procesamiento de archivos de audio MP3 y vídeos MP4 especialmente manipulados. En aquel momento, los investigadores estimaban que el problema podía afectar a más de mil millones de dispositivos Android, aunque el grado de exposición dependía de la versión del sistema y de otros factores técnicos.
¿En qué consistían los fallos de seguridad de Stagefright 2.0?
Según explicó Zimperium el 1 de octubre de 2015, los investigadores identificaron dos vulnerabilidades en componentes utilizados por Android para procesar contenido multimedia.
La primera, identificada como CVE-2015-6602, afectaba a la biblioteca libutils y estaba presente en un amplio conjunto de versiones de Android desde sus primeros lanzamientos.
La segunda, identificada posteriormente como CVE-2015-3876, estaba relacionada con libstagefright, un componente utilizado en el procesamiento de archivos multimedia.
Los investigadores demostraron que determinadas combinaciones de estas vulnerabilidades podían permitir la ejecución remota de código en dispositivos afectados, especialmente en versiones de Android 5.0 y posteriores disponibles en aquella época.
¿Qué riesgos suponían para los usuarios de Android?
El principal riesgo era que un dispositivo vulnerable procesase contenido multimedia especialmente preparado para aprovechar los fallos de seguridad.
En determinadas circunstancias, un ataque exitoso podía comprometer la seguridad del teléfono y permitir la ejecución de código sin autorización del propietario.
La gravedad dependía de factores como la versión de Android, las aplicaciones utilizadas para procesar los archivos y las medidas de seguridad implementadas por cada fabricante.
La existencia de una vulnerabilidad no implicaba que todos los dispositivos Android pudieran ser atacados de la misma manera ni que cualquier archivo MP3 o MP4 representase un peligro.
El problema de las actualizaciones de seguridad en 2015
Uno de los principales desafíos para corregir vulnerabilidades como Stagefright 2.0 era la distribución de actualizaciones entre los diferentes fabricantes y modelos de teléfonos Android.
En 2015, las actualizaciones podían depender tanto de Google como del fabricante del dispositivo y, en algunos casos, del operador de telefonía.
Esta fragmentación provocaba que algunos teléfonos recibiesen los parches con retraso o dejaran de recibir actualizaciones de seguridad.
Tras la aparición de las vulnerabilidades Stagefright, Google y otros fabricantes reforzaron sus mecanismos de actualización y comenzaron a publicar boletines de seguridad periódicos.
¿Siguen siendo un problema estos fallos de Android?
Stagefright 2.0 es un caso histórico de seguridad informática de 2015. Las vulnerabilidades identificadas entonces dieron lugar a correcciones de seguridad, por lo que no deben presentarse como fallos nuevos que afecten de la misma manera a los teléfonos actuales.
Sin embargo, el caso sigue siendo relevante porque demuestra la importancia de mantener actualizado el sistema operativo y utilizar dispositivos que reciban soporte de seguridad.
Para reducir riesgos, recomendamos:
- Instalar las actualizaciones de seguridad disponibles para el dispositivo.
- Evitar abrir archivos o enlaces sospechosos enviados desde fuentes desconocidas.
- Descargar aplicaciones desde tiendas oficiales o fuentes de confianza.
- Comprobar si el fabricante continúa ofreciendo actualizaciones para el modelo utilizado.
- Valorar la sustitución de dispositivos que hayan dejado de recibir soporte cuando su uso implique riesgos importantes.
La investigación sobre Stagefright 2.0 fue un ejemplo destacado de cómo las vulnerabilidades en componentes multimedia podían afectar a una gran cantidad de dispositivos y de la importancia de distribuir rápidamente las correcciones de seguridad.
Fuentes: Zimperium zLabs — Investigación original de Stagefright 2.0 (2015) | Zimperium — Stagefright, un año después (2016)