Se han revelado varias vulnerabilidades de seguridad en varias aplicaciones y componentes del sistema de los dispositivos Xiaomi con Android.
«Las vulnerabilidades de Xiaomi llevaron al acceso a actividades, receptores y servicios arbitrarios con privilegios del sistema, robo de archivos arbitrarios con privilegios del sistema, [and] divulgación de teléfono, configuración y datos de cuenta Xiaomi», empresa de seguridad móvil Oversecured dicho en un informe compartido con The Hacker News.
Las 20 brechas afectan diferentes aplicaciones y componentes como:
- Galería (com.miui.gallery)
- Obtener aplicaciones (com.xiaomi.mipicks)
- Mi Video (com.miui.videoplayer)
- MIUI Bluetooth (com.xiaomi.bluetooth)
- Servicios telefónicos (com.android.phone)
- Cola de impresión (com.android.printspooler)
- Seguridad (com.miui.securitycenter)
- Núcleo de seguridad (com.miui.securitycore)
- Configuración (com.android.settings)
- Compárteme (com.xiaomi.midrop)
- Seguimiento del sistema (com.android.tracer), y
- Nube Xiaomi (com.miui.cloudservice)
Algunas de las fallas notables incluyen un error de inyección de comando de shell que afecta a la aplicación System Tracing y fallas en la aplicación Configuración que podrían permitir el robo arbitrario de archivos, así como la filtración de información en dispositivos Bluetooth, redes Wi-Fi conectadas y contactos de emergencia.
Cabe señalar que, si bien los servicios telefónicos, la cola de impresión, la configuración y el seguimiento del sistema son componentes legítimos del proyecto de código abierto de Android (AOSP), fueron modificados por el fabricante chino de teléfonos para incorporar funciones adicionales, lo que provocó estos defectos.
También descubrimos un vulnerabilidad de corrupción de memoria impactando la aplicación GetApps, que, a su vez, proviene de una biblioteca de Android llamada LiveEventBus que, según Oversecured, se informó a los gerentes de proyecto hace más de un año y no se ha solucionado hasta el día de hoy.
Se ha descubierto que la aplicación Mi Video utiliza intenciones implícitas para enviar información de la cuenta Xiaomi, como nombre de usuario y dirección de correo electrónico a través de transmisionesque podría ser interceptado por cualquier aplicación de terceros instalada en dispositivos que utilicen sus propios receptores de transmisión.
Oversecured dijo que los problemas se informaron a Xiaomi dentro de cinco días, del 25 al 30 de abril de 2024. Se recomienda a los usuarios que apliquen las últimas actualizaciones para mitigar posibles amenazas.
