Brecha no Firefox para Android permite invadir celulares próximos

1 min de leitura
Imagem de: Brecha no Firefox para Android permite invadir celulares próximos
Imagem: Lukas Stefanko/Reprodução
Avatar do autor

Em uma recente investigação, um pesquisador de segurança encontrou uma grave brecha de segurança em versões antigas do Firefox para Android. Uma vulnerabilidade encontrada num protocolo do navegador permite que um invasor “sequestre” sessões do app e de todos os smartphones conectados à mesma rede, encaminhando-os para sites maliciosos ou instalação de extensões indesejáveis.

Trata-se do SSDP (Simple Service Discovery Protocol), um protocolo utilizado pelo Firefox para encontrar outros dispositivos da rede para compartilhar conteúdo do navegador. Chris Moberly, o pesquisador australiano responsável pela descoberta, informou no Twitter que a falha não está mais presente na versão atual, mas alerta usuários que se mantém com o app desatualizado.

Assim que outro dispositivo com o navegador é encontrado, o Firefox cria um arquivo de localização no formato XML contendo as informações do smartphone. Contudo, segundo o pesquisador, esse arquivo pode conter alguns comandos para execução de tarefas, os chamados “intents”.

A vulnerabilidade permitiria que um invasor pudesse acessar o roteador de uma rede doméstica ou de uma empresa e interfira em todos os celulares conectados a rede. Assim que acessados, o hacker pode executar uma série de comandos para abrir páginas do navegador ou instalar extensões sem qualquer interação do usuário.

Essa ameaça é algo ainda mais perigoso pela vastidão de possibilidades e pelo seu alcance. O acesso remoto a dispositivos de toda uma rede pode impactar significativamente na segurança de companhias e gerar dor de cabeça em usuários de uma rede doméstica comum, ambiente normalmente considerado seguro para compartilhar senhas bancárias, documentos e mais dados sensíveis.

Em vídeo, Lukas Stefanko demonstrou a capacidade destrutiva do problema ao atacar três dispositivos dentro de uma mesma rede a partir de um smartphone. Perceba que, na demonstração, não demora muito para que ele acesse todos os dispositivos vulneráveis e interaja com eles remotamente.

Brecha no Firefox para Android permite invadir celulares próximos