Créditos de imagen: Bryce Durbin/TechCrunch

Varios administradores de contraseñas móviles populares están filtrando inadvertidamente las credenciales de los usuarios debido a una vulnerabilidad en la funcionalidad de autocompletar de las aplicaciones de Android.

La vulnerabilidad, denominada «AutoSpill», puede exponer las credenciales guardadas de los usuarios en los administradores de contraseñas móviles al pasar por alto el mecanismo seguro de autocompletar de Android, según investigadores académicos del IIIT Hyderabad, quienes descubrieron la vulnerabilidad y presentaron su investigación en Black Hat Europe esta semana.

Los investigadores Ankit Gangwal, Shubham Singh y Abhijeet Srivastava descubrieron que cuando una aplicación de Android carga una página de inicio de sesión en WebView, los administradores de contraseñas pueden «confundirse» acerca de dónde deben dirigir la información de inicio de sesión del usuario y exponer sus credenciales a las aplicaciones subyacentes. campos nativos, dijeron. De hecho, WebView, el motor preinstalado de Google, permite a los desarrolladores mostrar contenido web en la aplicación sin iniciar un navegador web y se genera una consulta de autocompletar.

“Digamos que estás intentando iniciar sesión en tu aplicación de música favorita en tu dispositivo móvil y estás usando la opción ‘Iniciar sesión a través de Google o Facebook’. La aplicación de música abrirá una página de inicio de sesión de Google o Facebook a través de WebView”, dijo Gangwal a TechCrunch antes de su presentación de Black Hat el miércoles.

“Cuando se invoca el administrador de contraseñas para autocompletar las credenciales, lo ideal sería que se autocompletara solo en la página de Google o Facebook que se cargó. Pero descubrimos que la operación de autocompletar podría exponer accidentalmente las credenciales a la aplicación base.

Gangwal señala que las consecuencias de esta vulnerabilidad, especialmente en un escenario donde la aplicación base es maliciosa, son significativas. Añadió: “Incluso sin phishing, cualquier aplicación maliciosa que le solicite iniciar sesión a través de otro sitio, como Google o Facebook, puede acceder automáticamente a información confidencial. »

Los investigadores probaron la vulnerabilidad de AutoSpill utilizando algunos de los administradores de contraseñas más populares, incluidos 1Password, LastPass, Keeper y Enpass, en dispositivos Android nuevos y actualizados. Descubrieron que la mayoría de las aplicaciones eran vulnerables a fugas de credenciales, incluso si la inyección de JavaScript estaba deshabilitada. Cuando se habilitó la inyección de JavaScript, todos los administradores de contraseñas eran susceptibles a su vulnerabilidad AutoSpill.

Gangwal dice que alertó a Google y a los administradores de contraseñas afectados sobre la falla.

Pedro Canahuati, director de tecnología de 1Password, dijo a TechCrunch que la compañía ha identificado y está trabajando en una solución para AutoSpill. «Si bien el parche fortalece aún más nuestra postura de seguridad, la función de autocompletar de 1Password fue diseñada para requerir que el usuario tome medidas explícitas», dijo Canahuati. «La actualización proporcionará protección adicional al evitar que los campos nativos se completen con credenciales destinadas únicamente a WebView de Android».

El CTO de Keeper, Craig Lurey, dijo en comentarios compartidos con TechCrunch que la compañía había sido informada de una vulnerabilidad potencial, pero no dijo si había realizado algún parche. “Solicitamos un video al investigador para demostrar el problema reportado. Según nuestro análisis, determinamos que el investigador primero instaló una aplicación maliciosa y luego aceptó un mensaje de Keeper para forzar la asociación de la aplicación maliciosa con un registro de contraseña de Keeper”, dijo Lurey.

Keeper dijo que «establece medidas de seguridad para proteger a los usuarios contra el autocompletado de credenciales en una aplicación o sitio que no es de confianza y que no ha sido autorizado explícitamente por el usuario», y ha recomendado que el investigador envíe su informe a Google «como es específicamente relacionado con el sistema Android.» plataforma.»

Google y Enpass no respondieron a las preguntas de TechCrunch. Alex Cox, director del equipo de inteligencia, mitigación y escalada de amenazas de LastPass, dijo a TechCrunch que antes de ser informado de los hallazgos de los investigadores, LastPass ya había implementado la mitigación a través de una ventana emergente de advertencia integrada en el producto cuando la aplicación detectó un intento de explotación. la hazaña. «Después de analizar los resultados, agregamos texto más informativo a la ventana emergente», dijo Cox.

Gangwal le dice a TechCrunch que los investigadores están explorando actualmente la posibilidad de que un atacante pueda extraer las credenciales de la aplicación a WebView. El equipo también está investigando si la vulnerabilidad se puede replicar en iOS.