Resumo
Investigadores detetaram seis vulnerabilidades críticas nas ferramentas de partilha de ficheiros sem fios AirDrop da Apple e Quick Share do Android. Estas vulnerabilidades permitem o processamento de dados complexos sem autenticação do utilizador, podendo levar a falhas graves. A Apple já corrigiu uma falha, mas continua a avaliar outras. A Google também lançou uma correção para o Android, enquanto as falhas nos dispositivos Samsung estão ainda sob investigação. Recomenda-se que futuros protocolos validem a encriptação na fronteira do sistema para minimizar riscos.
As ferramentas de partilha de ficheiros sem fios integradas nos smartphones e computadores modernos, conhecidas como AirDrop no ecossistema Apple e Quick Share nos ambientes Android, estão no centro de uma nova investigação de segurança. Especialistas do Centro CISPA Helmholtz para a Segurança da Informação detetaram seis vulnerabilidades críticas.
Por funcionarem através de processos privilegiados que se ativam automaticamente sempre que um dispositivo desconhecido entra no raio de alcance sem fios, ambos os sistemas acabam por processar dados complexos antes de qualquer autenticação ou autorização por parte do utilizador. No caso da Apple, os problemas identificados centram-se no serviço que gere não apenas o AirDrop, mas também funcionalidades populares como o AirPlay e o Handoff.
O envio de pedidos malformados para este componente pode causar falhas em cadeia, desativando por completo estas ferramentas de continuidade. Adicionalmente, foi detectada uma falha num descodificador básico do sistema, capaz de afetar a estabilidade de relógios, televisões e óculos de realidade virtual da marca. Por outro lado, o Quick Share revelou fragilidades na lógica de validação de segurança.
Embora as duas gigantes tecnológicas tenham seguido abordagens de engenharia distintas, os analistas sublinham que ambas partilham a mesma fragilidade estrutural: a ausência de uma barreira única e centralizada para validar a segurança antes de processar dados externos. Para mitigar o problema, os autores do estudo recomendam que os futuros protocolos validem a encriptação logo na fronteira do sistema e minimizem o código exposto a terceiros.
As empresas envolvidas já começaram a em regime de divulgação coordenada. A Apple corrigiu uma das falhas numa atualização de software recente e está a avaliar os restantes relatórios. Do lado do ecossistema Android e Windows, a Google já validou uma correção para o erro de memória no cliente de computador, enquanto as restantes falhas de lógica de protocolo nos dispositivos Samsung continuam sob investigação oficial.
Fonte: Pplware
