IBM Security descubrió DroppedIn, una vulnerabilidad remota en el SDK de Dropbox para Android. Permitiendo conectar aplicaciones en dispositivos móviles con una cuenta de Dropbox controlada por el atacante.
El SDK de Dropbox para Android (CVE-2014-8889) cuenta con una grave falla en el mecanismo de autenticación dentro de cualquier app Android que utiliza un SDK de Dropbox Versión 1.5.4 a 1.6.1 (esta vulnerabilidad fue resuelta en el SDK de Dropbox para Android v1.6.2).
La vulnerabilidad puede explotarse de dos maneras: utilizando una app maliciosa instalada en el dispositivo del usuario o bien remotamente, utilizando técnicas “drive-by”. Sin embargo, no puede explotarse si la app de Dropbox está instalada en el dispositivo (no es necesario que esté configurada, solo instalada).
Al descubrir la vulnerabilidad, el equipo de IBM divulgó en forma privada el problema a Dropbox. La respuesta de Dropbox a esta amenaza de seguridad fue particularmente notable, ya que se tuvo respuesta en tan sólo seis minutos, confirmaron la vulnerabilidad dentro de las 24 horas y sacaron un parche en tan solo 4 días. Esto indudablemente muestra el compromiso de la compañía con la seguridad: fue uno de los tiempos de respuestas más rápidos que el equipo de IBM Security ha visto en su historia de investigación de vulnerabilidades.
Con una solución de parche disponible, IBM recomienda, especialmente a los desarrolladores, actualizar su biblioteca Dropbox SDK. Además, los usuarios finales deben actualizar sus apps que dependen del SDK y se recomienda instalar la app de Dropbox, que hace que sea imposible explotar la vulnerabilidad; esto se debe a que el código SDK vulnerable no se invoca cuando la app local de Dropbox está instalada.
