Varios administradores de contraseñas móviles populares están divulgando sin darse cuenta las credenciales de los usuarios debido a una vulnerabilidad en la funcionalidad de autocompletar de las aplicaciones de Android.
La vulnerabilidad, denominada «AutoSpill», puede exponer las credenciales guardadas de los usuarios en los administradores de contraseñas móviles al eludir el mecanismo seguro de autocompletar de Android, según investigadores universitarios del IIIT Hyderabad, quienes descubrieron la vulnerabilidad y presentaron su investigación en Black Hat Europe esta semana.
Los investigadores, Ankit Gangwal, Shubham Singh y Abhijeet Srivastava, descubrieron que cuando una aplicación de Android carga una página de inicio de sesión en WebView, el motor preinstalado de Google que permite a los desarrolladores mostrar contenido web en la aplicación sin iniciar un navegador web, y una función de autocompletar. Cuando se genera una solicitud, los administradores de contraseñas pueden «desorientarse» acerca de dónde deben dirigir la información de inicio de sesión del usuario y, en cambio, exponer sus credenciales a los campos nativos de la aplicación subyacente, dijeron.
“Digamos que estás intentando iniciar sesión en tu aplicación de música favorita en tu dispositivo móvil y utilizas la opción ‘iniciar sesión a través de Google o Facebook’. La aplicación de música abrirá una página de inicio de sesión de Google o Facebook dentro de sí misma a través de WebView”, explicó Gangwal a TechCrunch antes de su presentación de Black Hat el miércoles.
“Cuando se invoca el administrador de contraseñas para autocompletar las credenciales, idealmente debería autocompletarse solo en la página de Google o Facebook que se ha cargado. Pero descubrimos que la operación de autocompletar podría exponer accidentalmente las credenciales a la aplicación base”.
Gangwall señala que las ramificaciones de esta vulnerabilidad, particularmente en un escenario donde la aplicación base es maliciosa, son significativas. Añadió: «Incluso sin phishing, cualquier aplicación maliciosa que le solicite iniciar sesión a través de otro sitio, como Google o Facebook, puede acceder automáticamente a información confidencial».
Los investigadores probaron la vulnerabilidad de AutoSpill utilizando algunos de los administradores de contraseñas más populares, incluidos 1Password, LastPass, Keeper y Enpass, en dispositivos Android nuevos y actualizados. Descubrieron que la mayoría de las aplicaciones eran vulnerables a la fuga de credenciales, incluso con la inyección de JavaScript desactivada. Cuando se habilitó la inyección de JavaScript, todos los administradores de contraseñas eran susceptibles a su vulnerabilidad AutoSpill.
Gangwal dice que alertó a Google y a los administradores de contraseñas afectados sobre la falla.
El director de tecnología de 1Password, Pedro Canahuati, dijo a TechCrunch que la compañía ha identificado y está trabajando en una solución para AutoSpill. «Si bien la solución fortalecerá aún más nuestra postura de seguridad, la función de autocompletar de 1Password ha sido diseñada para requerir que el usuario tome medidas explícitas», dijo Canahuati. «La actualización brindará protección adicional al evitar que los campos nativos se llenen con credenciales que solo están destinadas a WebView de Android».
El CTO de Keeper, Craig Lurey, dijo en comentarios compartidos con TechCrunch que la compañía fue notificada sobre una posible vulnerabilidad, pero no dijo si había realizado alguna solución. “Solicitamos un video al investigador para demostrar el problema informado. Según nuestro análisis, determinamos que el investigador había instalado primero una aplicación maliciosa y posteriormente aceptó un mensaje de Keeper para forzar la asociación de la aplicación maliciosa a un registro de contraseña de Keeper”, dijo Lurey.
Keeper dijo que «establece salvaguardias para proteger a los usuarios contra el llenado automático de credenciales en una aplicación que no es de confianza o en un sitio que no fue autorizado explícitamente por el usuario», y recomendó que el investigador envíe su informe a Google «ya que está específicamente relacionado con Android». plataforma.»
Google y Enpass no respondieron a las preguntas de TechCrunch. La portavoz de LastPass, Elizabeth Bassler, no hizo comentarios al cierre de esta edición.
Gangwal le dice a TechCrunch que los investigadores ahora están explorando la posibilidad de que un atacante extraiga credenciales de la aplicación a WebView. El equipo también está investigando si la vulnerabilidad se puede replicar en iOS.