Falha de segurança no Android aingiu app com 1 bilhão de instalações

A Microsoft alertou para uma nova ameaça a aplicativos para Android nesta quarta-feira (1º). Conhecida como “Dirty Stream”, a falha de segurança se concentra no uso indevido de um sistema de troca de dados entre apps para roubar informações, rodar códigos arbitrários e afins. Os desenvolvedores de softwares atingidos já começaram a corrigir a brecha.

• Como deixar o Android mais seguro | 9 dicas
• Como fazer uma checagem de segurança no Android

A falha foi encontrada em aplicativos populares, como o Explorador de Arquivos da Xiaomi, que tem mais de 1 bilhão de instalações, e o WPS Office, com mais de 500 milhões de instalações. Segundo a Microsoft, os apps já foram atualizados para corrigir a ameaça.

Microsoft relata falha de segurança no Android

A brecha de segurança se encontra em um mecanismo do Android, identificado pela classe FileProvider. Essa extensão é necessária para fazer a comunicação entre aplicativos para trocar arquivos e outras informações, uma vez que o sistema operacional isola os softwares para evitar conflitos e aumentar a proteção do dispositivo.

–
Feedly: assine nosso feed RSS e não perca nenhum conteúdo do Canaltech em seu agregador de notícias favorito.
–

Como a própria Microsoft explica, o provedor de conteúdo oferece uma “solução confiável” quando usado corretamente. “No entanto, a implementação inadequada pode introduzir vulnerabilidades que podem permitir contornar as restrições de leitura e gravação no diretório inicial de um aplicativo”, complementou a empresa.

E é aí que nasce o problema, pois a falha de segurança permitiria o uso indevido desse mecanismo para coletar informações ou rodar códigos maliciosos. Independente da forma, essa aplicação incorreta acarreta em riscos aos dispositivos e seus respectivos usuários, pois abre portas para novas possibilidades de ataques a hackers.

Desenvolvedores já começaram a corrigir a falha

A Microsoft apontou dois grandes softwares que, até então, traziam a vulnerabilidade. O maior deles é o Gerenciador de Arquivos da Xiaomi, que já teve mais de um bilhão de instalações na Play Store. O WPS Office também foi afetado e conta com mais de 500 milhões de instalações. 

A empresa ainda diz que identificou “vários aplicativos vulneráveis na Google Play Store que representaram mais de quatro bilhões de instalações” e prevê que a vulnerabilidade pode ser encontrada em outros softwares. É por isso que, depois de informar aos desenvolvedores e o Google, a Microsoft publicou relatório nesta quarta-feira (1º): para alertar que a vulnerabilidade ainda pode estar por aí.

Contudo, desde fevereiro de 2024, alguns desenvolvedores começaram a aplicar as correções. É o caso da Xiaomi, que lançou a versão V1-210593 do Gerenciador de Arquivos, já sem o problema. A compilação 17.0.0 do WPS Office também foi liberada sem a brecha de segurança.

O Google também emitiu um aviso no site Android Developers, voltado para desenvolvedores do sistema operacional. “Um FileProvider configurado incorretamente pode expor involuntariamente arquivos e diretórios a um invasor”, notificou a gigante das buscas. 

“Dependendo da configuração, um invasor pode ler ou gravar nesses arquivos expostos, o que, por sua vez, pode levar à exfiltração de informações confidenciais ou, na pior das hipóteses, à execução arbitrária de código”, concluiu a empresa.

E agora, o que fazer?

Não há bem uma lista dos aplicativos que trazem a falha de segurança. Mas, independente de ter a relação ou não, a recomendação é sempre a mesma: mantenha tanto os apps quanto o sistema operacional atualizados com a versão mais recente. 

Também é importante instalar os softwares através de fontes seguras, como a Play Store e lojas de aplicativos das fabricantes. Outra recomendação é utilizar um aplicativo de antivírus para o seu celular ou tablet com Android, para fazer verificações nos apps e arquivos.

“Recomendamos aos usuários que acessaram compartilhamentos SMB ou FTP por meio do aplicativo Xiaomi antes das atualizações que redefinam as credenciais e investiguem qualquer comportamento anômalo”, disse a Microsoft.

Leia a matéria no Canaltech.

Trending no Canaltech:

• “Seios de Ozempic” são suposto novo efeito colateral do remédio
• Chang’e 6: China lança missão ao lado afastado da Lua
• Nokia lança novos celulares com cores vibrantes, YouTube Shorts e Snake
• Dispositivo “sanguessuga” coleta sangue sem agulha
• 🔥 A HORA É AGORA | Fone gamer Logitech G435 atinge preço baixo no AliExpress
• 🚨 CUPOM EXCLUSIVO | Leve Galaxy S23 Ultra de 512 GB em ótimo preço