Vulnerabilidade zero day do ROM CyanogenMod a ataque Man-in-the-Middle

Table Of Contents

• ROM CyanogenMod, popular ROM de terceiros do Android suscetível a ataque Man-in-the-Middle (MitM)
• ROM CyanogenMod
• Ataque Man-in-the-Middle
• O informante anônimo
• A falha
• Conclusão

ROM CyanogenMod, popular ROM de terceiros do Android suscetível a ataque Man-in-the-Middle (MitM)

Uma popular ROM de terceiros do Android chamada ROM CyanogenMod é suscetível a um ataque Man-in-the-Middle (MitM). Esta vulnerabilidade pode expor cerca de 10 milhões de usuários da ROM CyanogenMod a ataques man-in-the-middle (MitM). A vulnerabilidade MitM pode significar que um usuário Android usando a ROM CyanogenMod pode ser alvo de qualquer navegador instalado no smartphone/tablet Android.

Esta vulnerabilidade zero day está presente na ROM Android mais popular graças à reutilização de código de amostra vulnerável pela equipe CyanogenMod em várias compilações.

ROM CyanogenMod

A ROM CyanogenMod é um sistema operacional de código aberto para smartphones e tablets Android. A maioria dos usuários que não estão satisfeitos com o sistema operacional Google Android padrão ou que desejam fazer algumas mágicas técnicas com seus smartphones usam a ROM CyanogenMod ou outras ROMs. Ela permite acesso root aos usuários Android, que de outra forma é negado pelo sistema operacional proprietário do Google. Isso, por sua vez, permite que os usuários ajustem e modifiquem o smartphone para se comportar exatamente como o usuário deseja. É uma das ROMs mais populares porque é gratuita, de código aberto e é atualizada regularmente pela sua equipe liderada por Steve Kondik, com muitos fóruns dedicados a discutir bugs e truques no sistema operacional.

Ataque Man-in-the-Middle

O ataque Man-in-the-Middle, comumente chamado de ataque MitM, ocorre quando o hacker consegue escutar a vítima através da execução arbitrária de certificados. Em um MitM, o hacker faz conexões independentes com as vítimas e retransmite mensagens entre elas, fazendo-as acreditar que estão conversando diretamente uma com a outra por meio de uma conexão privada, quando na verdade toda a conversa é controlada, monitorada e anotada pelo hacker. Um exemplo simples é um usuário abrindo um site bancário e se comunicando com o servidor bancário. Normalmente, o SOP não permite que terceiros espionem essa comunicação, mas no caso de um ataque MitM, um hacker pode ter acesso a essa comunicação específica usando pontos de entrada válidos sem o conhecimento do usuário.

Para que um MitM tenha sucesso, ambas as partes que se comunicam, ou seja, seu PC e o site bancário, devem estar satisfeitas com a autenticidade mútua. Isso é feito através de certificados que sua máquina e os servidores bancários comunicam e verificam. Uma aprovação de certificação falsa pelo site pode abrir portas para ataques MitM.

O informante anônimo

Um pesquisador de segurança que deseja permanecer anônimo e trabalha para um fornecedor de smartphones de primeira linha informou o escritório australiano do The Register, também conhecido como Vulture South, sobre essa vulnerabilidade zero day.

Ele afirmou que a vulnerabilidade surge do fato de que os desenvolvedores do Cyanogenmod haviam pegado o código de amostra da Oracle para Java 1.5 para análise de certificados para obter nomes de host e o implementaram em todos os lançamentos subsequentes das ROMs CyanogenMod e Nightlys. O problema era que esses certificados eram vulneráveis a um bug mais antigo e foram posteriormente corrigidos pela Oracle. No entanto, a equipe de desenvolvedores do CyanogenMod ainda usava os antigos certificados não corrigidos.

“Eu estava analisando o código do componente HTTP e pensei que já tinha visto esse código antes”, disse o pesquisador, ele acrescentou “Eles apenas copiaram e colaram o código de amostra e foi isso que estava vulnerável.”

O pesquisador então verificou o repositório Git online, Github, e descobriu que muitos outros estavam usando os mesmos certificados não corrigidos.

A falha

A falha que foi descoberta em 2012 está relacionada às vulnerabilidades SSL em bibliotecas e causou muito alvoroço entre os usuários de Java na época. Foi pesquisada mais a fundo em fevereiro deste ano. A falha permitiu que os atacantes usassem qualquer nome de host que desejassem em certificados SSL e que fosse aceito por grandes entidades certificadoras, abrindo caminhos para ataques MitM em larga escala aos usuários de certificados.

“Se você for e criar um certificado SSL para um domínio que possui, digamos evil.com, e em um elemento do pedido de assinatura do certificado, como o campo ‘nome da organização’, você colocar o ‘valor,cn=nome do domínio’, ele será aceito como o nome de domínio válido para o certificado”

Assim, a falha foi carregada para cada compilação do CyanogenMod lançada pelos desenvolvedores sem qualquer atenção às bibliotecas não corrigidas.

Conclusão

*O pesquisador foi aparentemente rechaçado pela equipe do CyanogenMod quando se aproximou deles com o PoC para essa vulnerabilidade e, após ser rechaçado, ele mencionou isso no zero-day no evento de segurança Ruxcon em Melbourne.