Detectan un fallo de seguridad en el procesador de imágenes de código abierto que usa Instagram

Una vulnerabilidad crítica que afecta a Instagram podría terminar con usuarios bloqueados y suplantaciones de identidad si no se aplica el parche lanzado por Facebook para evitar sus efectos.

Facebook ha aplicado este parche en todas las versiones recientes de su aplicación fotográfica para distintas plataformas después de ser advertida por Check Point. Esta compañía de seguridad detectó un fallo en Mozjpeg, el procesador de código abierto del que se sirve Instagram para subir las imágenes, que permitía tomar el control y acometer acciones sin el consentimiento de los usuarios. Por ejemplo, manipular la información de perfil en las cuentas, publicar o eliminar fotos y leer conversaciones.

Además, como la propia aplicación de Instagram pide permisos de acceso a funciones adicionales de los smartphones, como contactos o datos de localización, entre otras cosas, este fallo tiene potencial para desencadenar campañas de espionaje.

“Tras esta investigación, hay dos grandes aspectos a destacar. Primero, las bibliotecas de códigos de terceros pueden ser una seria amenaza y por ello recomendamos a los desarrolladores de aplicaciones de software que las examinen y se aseguren de que su integración se realiza correctamente”, advierte Yaniv Balmas, jefe de investigación de Check Point. “El código de terceros se utiliza prácticamente en todas las aplicaciones que existen y es muy fácil pasar por alto las graves amenazas que contiene”.

“En segundo lugar”, continúa, “es necesario dedicar tiempo a comprobar los permisos de acceso que la aplicación demanda. El típico mensaje que aparece para conceder premisos a una app puede parecer una molestia, pero en la práctica esta es una de las líneas de defensa más fuertes contra los ciberataques móviles, por lo que es fundamental recapacitar y pensar detenidamente si se debe autorizar a la aplicación a tener acceso a la cámara, el micrófono, etc.”.

Un atacante simplemente necesita una imagen maliciosa para servirse de la vulnerabilidad descubierta. Tras enviársela a su víctima, sólo le quedaría esperar a que esta se guarde en el teléfono para activar la infección.