Los teléfonos inteligentes son fundamentales para la vida de muchos de nosotros. A través de ellos nos comunicamos con nuestros seres queridos, planificamos nuestros días y organizamos nuestra vida. Por eso la seguridad es tan importante para ellos. El problema es cuando aparece un exploit que le da al usuario acceso completo al sistema básicamente en cualquier teléfono Samsung.
Los usuarios a los que les gusta personalizar sus teléfonos inteligentes pueden beneficiarse de este tipo de exploits. Un acceso más profundo al sistema les permite, por ejemplo, iniciar una GSI (Imagen genérica del sistema) o cambiar el código CSC regional del dispositivo. Dado que esto otorga privilegios del sistema al usuario, también puede usarse de manera peligrosa. Un exploit de este tipo evita todas las comprobaciones de permisos, tiene acceso a todos los componentes de la aplicación, envía transmisiones protegidas, ejecuta actividades en segundo plano y mucho más.
El problema surgió en la aplicación TTS.
En 2019, se reveló que una vulnerabilidad denominada CVE-2019-16253 afecta el motor de texto a voz (TTS) utilizado por Samsung en versiones anteriores a la 3.0.02.7. Este exploit permitió a los atacantes elevar privilegios a privilegios del sistema y luego fue parcheado.
Galería de fotos
La aplicación TTS básicamente aceptaba ciegamente cualquier dato que recibía del motor TTS. El usuario podía pasar una biblioteca al motor TTS, que luego se pasaba a la aplicación TTS, que cargaría la biblioteca y luego la ejecutaría con privilegios del sistema. Este error se solucionó posteriormente para que la aplicación TTS valide los datos provenientes del motor TTS.
Sin embargo, Google en Androidu 10 introdujo la opción de revertir aplicaciones instalándolas con el parámetro ENABLE_ROLLBACK. Esto permite al usuario revertir la versión de la aplicación instalada en el dispositivo a su versión anterior. Esta capacidad también se ha extendido a la aplicación de texto a voz de Samsung en cualquier dispositivo. Galaxy, que actualmente está disponible porque la aplicación TTS heredada a la que los usuarios pueden volver en teléfonos nuevos nunca antes se les instaló.
Samsung conoce el problema desde hace tres meses.
En otras palabras, aunque se parcheó el exploit de 2019 mencionado y se distribuyó una versión actualizada de la aplicación TTS, es fácil para los usuarios instalarla y usarla en dispositivos lanzados varios años después. como el afirma web XDA Developers, Samsung fue informado de este hecho en octubre pasado y en enero uno de los miembros de su comunidad de desarrolladores llamado K0mraid3 se acercó nuevamente a la compañía para averiguar qué sucedió. Samsung respondió que era un problema con AOSP (Android Proyecto de código abierto; parte del ecosistema Androidu) y ponerse en contacto con Google. Señaló que este problema se ha confirmado en el teléfono Pixel.
Entonces K0mraid3 fue a informar el problema a Google, solo para descubrir que tanto Samsung como alguien más ya lo habían hecho. Actualmente no está claro cómo Google resolverá el problema, si es que AOSP está involucrado.
Te podría interesar
K0mraid3 en foro XDA afirma que la mejor manera para que los usuarios se protejan es instalar y utilizar este exploit. Una vez que lo hagan, nadie más podrá cargar la segunda biblioteca en el motor TTS. Otra opción es apagar o eliminar Samsung TTS.
No está claro en este momento si el exploit afecta a los dispositivos lanzados este año. K0mraid3 agregó que algunos dispositivos subcontratados JDM (Joint Development Manufacturing) como Samsung Galaxy A03. Es posible que estos dispositivos solo requieran una aplicación TTS debidamente firmada desde un dispositivo JDM más antiguo.
