Mailbox: falha de segurança ameaça usuários do aplicativo

Um engenheiro de computação italiano identificou que o popular aplicativo de e-mail Mailbox, adquirido pela Dropbox no início deste ano, possui uma vulnerabilidade potencialmente grave que pode permitir que mensagens maliciosas causem todos os tipos de estragos em seu dispositivo. 

De acordo com o especialista Michele Spagnuolo, a falha permite que um código JavaScript seja incorporado e executado dentro de uma mensagem HTML. Porque o Mailbox não filtra os dados armazenados nas mensagens que exibe, o código pode ser executado sem qualquer intervenção do usuário.

Assim como mostra Michele em um vídeo de demonstração, isso significa que o simples fato de abrir a mensagem de e-mail pode acarretar na execução de um app diferente, e permitir q terceiros usem "técnicas avançadas de spam, rastreiem as ações do usuário, e sequestrem a conta apenas abrindo uma mensagem, e, [...] potencialmente permite realizar ações muito piores" com usuários desavisados.

A raiz do problema é provavelmente o fato de que o Mailbox utiliza um controle especial fornecido pela Apple - chamado de webview - para entregar mensagens em HTML. Considerando que webviews são essencialmente versões independentes do Safari, elas também herdam todas as capacidades do navegador, incluindo o suporte para a execução de código JavaScript.

A boa notícia é que o problema não é tão ruim quanto parece. As mesmas questões que Spagnuolo destacou afetam o próprio Safari, e foram projetadas pela Apple para fornecer algum nível de interoperabilidade entre as páginas da Web e aplicativos - como quando uma página de pré-visualização do iTunes inicia automaticamente o aplicativo na App Store.

Porque o iOS é rígido com segurança, as características de proteção da plataforma são construídas com essa funcionalidade em mente e, normalmente, não permitem que qualquer operação potencialmente prejudicial consiga agir sem a permissão do usuário (ao menos enquanto o sistema operacional está sendo executado em um dispositivo que não tenha jailbreak).

Por exemplo, praticamente qualquer página da Web pode gerar uma nova mensagem SMS, mas a mensagem não pode ser enviada sem a intervenção do usuário. Dito isto, se o Mailbox expõe alguma funcionalidade interna por meio da sua webview, um invasor pode explorá-la e roubar informações pessoais, ou, eventualmente, iniciar um aplicativo terceiro que possa executar ações indesejadas.

Felizmente, as pessoas por trás do Mailbox devem ser capazes de corrigir esse problema com muita facilidade. A maioria dos clientes de e-mail mais modernos, incluindo o iOS Mail e Gmail, por exemplo, já filtram e-mails HTML para evitar esse tipo de problema, e as técnicas para fazer isso são bem conhecidas.

Representantes do Mailbox disseram ao Ars Technica que uma correção para o problema já está em andamento para o próximo update do app. Até lá, no entanto, talvez o melhor seja ser extra cauteloso ao usar o app - ou ainda, mudar para um cliente diferente para garantir.