Bitdefender descubrió "GhostMap", una vulnerabilidad en Android que permite provocar un reinicio infinito (boot loop) mediante la instalación de una app maliciosa que no requiere permisos. El fallo ocurre cuando el sistema intenta leer un archivo malformado, provocando un colapso persistente que solo puede solucionarse mediante un restablecimiento de fábrica o ADB. A pesar de los reportes, Google ha declinado lanzar un parche hasta el momento, calificando el problema como "no reproducible".





Los atacantes pueden forzar a los dispositivos Android a entrar en un bucle de reinicio continuo utilizando una aplicación especialmente diseñada que no requiere permisos y solo necesita ser instalada.

Para causar esta denegación de servicio (DoS) persistente, la aplicación activa una vulnerabilidad que los investigadores denominaron 'GhostMap', la cual hace que Android asigne un archivo a una región de memoria no asignada. El proceso afectado falla cuando intenta leer esa región.

La empresa rumana de ciberseguridad Bitdefender descubrió el fallo mientras analizaba un troyano bancario para Android que provocaba el cierre continuo de sus emuladores al intentar leer un recurso de la aplicación.

• https://www.bitdefender.com/en-us/blog/labs/ghostmap-android

Los investigadores demostraron la vulnerabilidad creando una aplicación que no contiene código ejecutable, no solicita permisos durante la instalación y no necesita ser ejecutada en el dispositivo.

Según la empresa, Google tiene conocimiento de GhostMap desde agosto, pero cerró el problema sin lanzar un parche, clasificándolo como "no reproducible".

En un informe publicado hoy, Bitdefender explica que GhostMap se origina en dos librerías de Android que interpretan los métodos de compresión ZIP de manera diferente. Esto permite que un APK malformado evite las comprobaciones de tamaño y sea mapeado más allá del contenido real del archivo.

"La lectura de dicha entrada provoca un SIGBUS (una señal enviada por la CPU para detener un proceso que accede a un espacio de memoria inválido) en cualquier proceso que toque el archivo", afirman los investigadores.

Para demostrar el efecto del bucle de fallos, Bitdefender creó una aplicación que contiene un recurso que el servicio central de Android ‘system_server’ intenta leer automáticamente tras la instalación.

La lectura activa el fallo y reinicia el proceso, haciendo que lea el mismo recurso y vuelva a fallar en un bucle infinito.

Durante las pruebas, los investigadores utilizaron un dispositivo Pixel 10 con Android 17 y el parche de seguridad del 5 de agosto. El dispositivo inició la cadena de fallos aproximadamente un segundo después de instalar la aplicación, repitiendo el bucle 110 veces en modo de arranque normal y 72 veces en modo seguro.

Bitdefender advierte que el bucle de reinicio también impide que los usuarios accedan al Modo Seguro, que normalmente proporcionaría una forma de solucionar el problema y restaurar el dispositivo.

Detener los fallos es posible de dos maneras: un restablecimiento de fábrica, que borra todos los datos almacenados localmente, y eliminando el archivo malformado a través de ADB.

Sin embargo, el uso de ADB requiere que la opción de depuración ya esté activa en el dispositivo. Además, la restauración mediante ADB requiere que los scripts actúen antes de que el sistema falle.

Respuesta de Google

Bitdefender informó del problema a Google el 20 de agosto, pero recibió una respuesta de “No se corregirá (No reproducible)”, indicando que el problema estaba fuera de alcance.

Los investigadores enviaron una versión ampliada el 25 de agosto, creyendo que Google había clasificado incorrectamente el informe original. El gigante tecnológico siguió considerándolo fuera de alcance para una actualización de seguridad, aunque lo reservó para su consideración en una futura actualización.

BleepingComputer se ha puesto en contacto con Google para preguntar sobre el estado de la corrección de GhostMap, pero aún estamos esperando respuesta.

Bitdefender afirma que la única oportunidad de bloquear el ataque es durante la instalación, señalando que las herramientas de seguridad de terceros pueden ayudar a detectar una posible amenaza y mostrar una advertencia, pero no tienen permiso para bloquear la instalación.



Fuente:
BleepingComputer