Una semana después de que los investigadores de ciberseguridad revelaran una falla en la popular aplicación de mensajería GO SMS Pro, parece que los desarrolladores de la aplicación están tomando medidas silenciosas para solucionar el problema entre bastidores.
El paso en falso de seguridad hizo posible que un atacante creara un script trivial para acceder a archivos multimedia transferidos entre usuarios, incluidos mensajes de voz privados, fotos y videos, almacenados en un servidor de acceso público no autenticado.
Aunque el comportamiento se observó en la versión 7.91 de GO SMS Pro para Android, los creadores de la aplicación lanzaron tres actualizaciones posteriores, dos de las cuales (v7.93 y v7.94) se enviaron a Google Play Store después de la divulgación pública de la falla. y la eliminación de Google de la aplicación del mercado.
Google restableció la aplicación en Play Store el 23 de noviembre.
Ahora, después de un análisis de las versiones actualizadas, los investigadores de Trustwave dijeron: «GOMO está intentando solucionar el problema, pero aún no hay una solución completa disponible en la aplicación».
v7.93 de la aplicación vio a los desarrolladores desactivar por completo la capacidad de enviar archivos multimedia, mientras que la próxima actualización (v7.94) ha recuperado la funcionalidad, aunque en una forma rota.
«En v7.94, no están bloqueando la capacidad de cargar medios en la aplicación, pero los medios no parecen ir a ninguna parte», dijeron los investigadores. «El destinatario no recibe ningún texto real, ya sea con o sin medios adjuntos. Por lo tanto, parece que están tratando de solucionar el problema raíz».
Además, Trustwave confirmó que aún se puede acceder a los medios más antiguos compartidos antes del aviso, incluido un caché de información confidencial como licencias de conducir, números de cuentas de seguros médicos, documentos legales y fotos de naturaleza más «romántica».
De manera preocupante, no solo se han lanzado herramientas y exploits que aprovechan esta vulnerabilidad en Pastebin y Github; Los foros clandestinos parecen estar compartiendo imágenes descargadas de los servidores GO SMS directamente.
Dada la falta de comunicación de los desarrolladores de la aplicación y el hecho de que los datos antiguos se están filtrando activamente, se recomienda abstenerse de usar la aplicación hasta que los problemas se solucionen por completo.
«También creemos que sería una buena idea que Google retirara esta aplicación», dijeron los investigadores.
