IBM X-Force Application Security Research descubre una grave vulnerabilidad (CVE-2014-8889) en el SDK de Android para DropBox, la cual permite acceder a los archivos de una cuenta sin el permiso previo del usuario. La vulnerabilidad ha sido bautizada como DroppedIn







Un equipo de investigación de IBM (IBM X-Force Application Security Research) descubre un grave fallo de seguridad en el SDK que la compañía estadounidense ofrece a los desarrolladores de terceros para integrar sus aplicaciones en el sistema operativo Android. Dicha vulnerabilidad de Dropbox permite a los hackers acceder a toda la información almacenada en la cuenta (desde datos personales hasta archivos guardados en los servidores) sin el permiso previo de su propietario.

Esta vulnerabilidad de Dropbox se ha detectado entre las versiones 1.5.4 y 1.6.1 de su SDK para Android. En las versiones posteriores (1.6.2 en adelante), este fallo fue solventado, inhibiendo así a los posibles hackers que hubiesen detectado dicha vulnerabilidad.

Según afirman desde IBM X-Force Application Security Research, los hackers podrían acceder a los archivos almacenados en la cuenta de Dropbox mediante dos vías: utilizando una aplicación instalada en el dispositivo con fines maliciosos o, en su defecto, de forma remota mediante unas técnicas concretas.

La rápida respuesta de Dropbox demuestra su firme compromiso con la seguridad

La respuesta del equipo de Dropbox ante esta vulnerabilidad ha sido realmente rápida. De hecho, según afirman desde IBM X-Force Application Security Research, ha sido una de las más rápidas que han presenciado jamás: 6 minutos hasta que obtuvieron una respuesta por parte de Dropbox; 24 horas hasta que hicieron oficial el fallo; cuatro días hasta que lanzaron oficialmente el parche que cerraba dicha brecha de seguridad. Esto demuestra claramente el compromiso de Dropbox ante los problemas de seguridad.

Afortunadamente, no debería preocuparnos en exceso esta vulnerabilidad de Dropbox, pues la compañía ya ha solucionado el problema. Eso sí, debemos actualizar tan pronto como sea posible nuestra aplicación de Dropbox para Android (así como todas las aplicaciones que hagan uso del SDK de Dropbox), o, de lo contrario, nuestros dispositivos seguirán siendo vulnerables a esta serie de ataques.

Fuente:
http://hipertextual.com/2015/03/vulnerabilidad-de-dropbox

Entendiendo la vulnerablidad: Dropbox y OAuth