Stagefright: a ameaça ao seu smartphone ainda não acabou

As operadoras liberaram há pouco a primeira versão do patch para corrigir a brecha de segurança Stagefright, mas agora uma nova vulnerabilidade foi descoberta. O perigo está em especial nos arquivos de MP3 e MP4 que chegam ao seu smartphone pelo navegador. Veja abaixo os detalhes.

A firma de segurança Zimperium costuma achar falhas de segurança e obrigar as fabricantes do Android a liberar um update. Começou com a vulnerabilidade Stagefright, inteiramente documentada, de maneira que qualquer adolescente podia transformar um smartphone desprotegido num aparelho de escuta. Aos poucos, a maioria dos dispositivos mais relevantes recebeu patches para o fechamento do Stagefright, mas agora descobriu-se uma nova brecha.

Stagefright 2.0 se concentrou em duas novas aberturas, apresentadas pelo Google em 15 de agosto como CVE-2015-6602 e CVE-2015-3876. A primeira se chama libutils, existe desde 2008 e permite o acesso a bibliotecas do dispositivo. Os usuários do Android 5.0 também precisam de um patch para a vulnerabilidade libstagefright (CVE-2015-3876), que abre o acesso dos hackers a libutils. A entrada é possibilitada por um arquivo de MP3 aberto pelo navegador.

Nesse arquivo podem ser escondidos vários códigos que conferem direitos às bibliotecas de mídia do usuário. Por exemplo, o microfone pode ser acessado. Podemos esperar por um patch para o Stagefright 2.0, pois o Google já forneceu a correção para as operadoras desde 10 de setembro.