Vulnerabilidades en Android que pueden arruinarte (CVE-2013-6272 & com.android.phone)

Se han anunciado dos nuevas vulnerabilidades en sistemas Android (anteriores a la versión 4.4.4) que podrían permitir a una aplicación maliciosa realizar llamadas a números de tarificación especial sin que
el usuario se percate de ello y aún sin permisos para ello.
Las dos vulnerabilidades, muy similares entre sí, han sido anunciadas por Curesec.  El primero de los problemas, con CVE-2013-6272, aparece en Android 4.1.1 Jelly Bean y se presenta en todas las versiones hasta Android 4.4.2 KitKat.


Reside en com.android.phone y todo parece indicar que se ha corregido en la última versión 4.4.4.
Por otra parte, una segunda vulnerabilidad (sin CVE asignado todavía) en com.android.contacts solo está presente en las versiones Android 2.3.3 y 2.3.6. Ambas vulnerabilidades son explotables de la misma forma con idénticos resultados.

Versiones afectadas

Podemos comprobar si nuestros dispositivos  están afectados por este fallo























Descargando e instalando esta aplicación de los chicos de Curesec.  
  CRT-Kolme.apk (aplicación de prueba)

Después de la instalación basta con hacer clic sobre el logotipo de Curesec y la testscreen aparecerá.Elegimos el SDK que desea probar. Si su teléfono es vulnerable, se llamará al número 31337.
Podemos hacer uso del exploit en remoto con Drozer.

 Descarga Drozer aquí

 dz_exploit (exploit archive cve-2013-6271, cve-2013-6272 and cve-2014-n/a)

tar xjf dz_exploits.tar.bz2 -C drozer/modules
adb forward tcp:31415 tcp:31415
drozer console connect
dz> run curesec.exploit.callme2 -tdz> run curesec.exploit.callme1 -k kill 

FUENTES:

http://www.blog.curesec.com 

http://unaaldia.hispasec.com/2014/07/nuevas-vulnerabilidades-en-android.html