Recientemente se ha descubierto que cerca de 1.500 aplicaciones para iPhone y iPad contienen una vulnerabilidad HTTPS que puede facilitarle a los atacantes la ejecución de ataques Man-In-The-Middle (MITM), lo cual les permitiría robar contraseñas, información de nuestras cuentas bancarias y otros datos confidenciales.
El fallo fue descubierto por SourceDNA el mes pasado, según informan desde Cult of Mac, y corregido con una actualización del código open-source que contenía la vulnerabilidad. En concreto, el problema es un bug que apareció en la librería de código open source AFNetworking, que algunos desarrolladores incluyen en sus aplicaciones para añadir funcionalidades de interconectividad entre usuarios. La vulnerabilidad permitía a los hackers situarse entre el usuario y el servidor, lo que se conoce comúnmente como Man-In-The-Middle, para tener acceso a las datos cifrados enviados por el protocolo HTTPS. Si bien, tal y como decíamos, este fallo ya ha sido corregido en la version 2.5.2 de AFNetworking, no todas las aplicaciones afectadas han sido actualizadas, dejándolas susceptibles a ser atacadas.
Después de descubrir este fallo de seguridad, SourceDNA analizó 1.4 millones de aplicaciones en la App Store para comprobar cuáles seguían siendo vulnerables a esta amenaza. Como resultado, encontraron que había unas 1.500 apps afectadas, una cantidad relativamente pequeña en proporción al número total de apps de iOS. No obstante, esta cantidad sigue siendo importante, puesto que sus usuarios podrían ver como su información confidencial es interceptada por los ciberdelincuentes.
Tal y como se explica en este glosario, de ESET, con la técnica Man-In-The-Middle el atacante intercepta una comunicación asumiendo el papel de intermediario entre las dos partes (usuario y servidor), manteniendo vínculos independientes con cada una de ellas y simulando una conexión íntegra mediante la lectura, inserción y modificación de mensajes.
“El problema ocurre incluso cuando la aplicación móvil solicita a la librería validar el certificado SSL del servidor”, escribieron los analistas. “La evaluamos en un dispositivo real e, inesperadamente, encontramos que todo el tráfico SSL podía ser interceptado regularmente a través de un proxy como Burp sin ninguna intervención”, explican.
Muchas apps conocidas aún siguen usando la versión vulnerable de AFNetworking, según informan desde Ars Technica. Si quieres saber si tus aplicaciones están afectadas por este fallo de seguridad, puedes ir a la web de SourceDNA y comprobarlo proporcionando el nombre de los desarrolladores.
Créditos imagen: Bloomua / Shutterstock.com