Apps da Google Play não atualizam patches para vulnerabilidade em Core Library

Uma nova vulnerabilidade para a Google Play Core Library foi descoberta no final de agosto, permitindo a execução de código local (LCE) no escopo de qualquer aplicativo que tenha a versão vulnerável da biblioteca Google Play Core.

A Play Core Library é a interface de tempo de execução do aplicativo com a Google Play Store. Basicamente, a Google Play Core Library é um portal para interagir com o Google Play Services de dentro do próprio aplicativo, começando com o carregamento dinâmico de código (como baixar níveis adicionais apenas quando necessário), para entregar recursos específicos de localidade e interagir com mecanismos de revisão da Google Play.

Em agosto, a OverSecured descobriu a vulnerabilidade CVE-2020-8913, classificada como alta e corrigida na Google Play Core Library versão 1.7.2. Desde a publicação desta vulnerabilidade, a Check Point começou a monitorar aplicativos vulneráveis. Durante o mês de setembro, a empresa descobriu que 13% dos aplicativos da Google Play usaram essa biblioteca, sendo que 8% desses aplicativos tinham uma versão vulnerável.

A Check Point publicou vídeo demonstrando como essa vulnerabilidade é fácil de explorar. "Tudo o que você precisa fazer é criar um aplicativo 'hello world' que chama a intenção exportada no aplicativo vulnerável para enviar um arquivo para a pasta de arquivos verificados".

Veja a lista de aplicativos vulneráveis*:

*Alguns aplicativos originalmente listados pela Check Point foram retirados da lista após aviso de atualização.

Fonte: Check Point