Los fallos más tontos siguen tumbando Android
Escuchar el artículo · 4:27
Un agente de IA open source de GitHub encontró 24 fallos en apps Android millonarias, y los más graves eran errores de manual.
En este artículo (4)▼
Veinticuatro vulnerabilidades en aplicaciones Android con millones de usuarios, encontradas por un agente de IA que cualquiera puede descargar. Lo inquietante no es la cifra, sino la simpleza de los fallos.
Un intent abierto convirtió tu GPS en un chivato
OsmAnd, la app de navegación sobre OpenStreetMap con más de 10 millones de descargas en Play Store, tenía su activity principal MapActivity exportada y aceptando extras pensados para un canal interno AIDL. Cualquier aplicación instalada en el mismo teléfono, sin pedir permiso alguno, podía enviarle parámetros como settings_version, silent_import o replace para importarle ajustes en silencio.
El espionaje está en el servidor de teselas de mapa. Con esos extras, una app maliciosa cambiaba el servidor que entrega los fragmentos de mapa y, desde ese momento, cada tesela cargada revelaba coordenadas al servidor del atacante, además del origen y destino de las rutas. Fue una de tres vulnerabilidades halladas en OsmAnd, y la más grave.
Un endsWith bastó para robar sesiones de Wikipedia
El caso de la app de Wikipedia es todavía más elemental. Su manejador del deeplink wikipedia:// comprobaba el dominio con endsWith(WikiSite.BASE_DOMAIN) en lugar de una igualdad exacta. Con ese filtro laxo, un dominio como evil-wikipedia.org pasaba la validación y se cargaba dentro del WebView con JavaScript arbitrario.
Un segundo chequeo igual de permisivo en el SharedPreferenceCookieManager completaba la cadena y permitía el robo de sesión. Las cookies comprometidas son de larga duración y válidas en todos los proyectos Wikimedia. Todo el ataque requiere un solo clic de la víctima en un enlace malicioso. Dos validaciones perezosas y la sesión de millones de lectores quedaba expuesta.
La IA encuentra, pero no sabe qué importa
El cazador es el Taskflow Agent del GitHub Security Lab, un framework open source que empaqueta flujos de auditoría en prompts YAML, con arquitectura multiagente y soporte de MCP. Para esta campaña sumó taskflows específicos de Android que separan los entry points móviles de los de web y escritorio y fuerzan la revisión de clases típicas de la plataforma: confused deputy, broadcasts inseguros, intents, deep links, WebView y puentes JavaScript. Se ejecuta en Codespaces con ./scripts/audit/run_mobile.sh, requiere licencia de Copilot y tarda una o dos horas por repositorio mediano. El mismo framework ya había reportado más de 80 vulnerabilidades web.
El propio Kevin Stubbings, autor del trabajo, admite los límites del modelo. El agente marca en exceso problemas de baja severidad aun cuando se le pide que no lo haga, y valora mal el impacto real cuando existen mitigaciones, como almacenamiento interno que anula el control externo del atacante. Si mantienes una app Android, audita hoy tus activities exportadas y tus validadores de deep link: ahí siguen viviendo los errores de manual. La IA acelera la búsqueda, pero el juicio sobre qué importa sigue siendo humano.
Veinticuatro avisos sin parche confirmado
A cierre de la cobertura, ninguna fuente confirma si OsmAnd o Wikipedia ya parchearon los fallos, y la ficha pública de seguimiento indica que no hay parche del fabricante confirmado. Se desconocen las versiones afectadas, los CVE asignados, cuántos repos se auditaron y cuántos hallazgos fueron falsos positivos. El código del agente está publicado en el repositorio del Security Lab para que cualquiera lo ejecute. La pregunta que queda es cuántas apps de tu teléfono tienen hoy un intent abierto o un endsWith perezoso esperando su turno.
Fuente: github.blog, helpnetsecurity.com
