TL;DR
- Se puede aprovechar una falla en AppGallery de Huawei para descargar aplicaciones pagas de Android de forma gratuita.
- El problema sigue sin resolverse semanas después de que un desarrollador lo llamara la atención de Huawei.
Una vulnerabilidad recién descubierta en Huawei AppGallery hace posible que cualquier persona descargue aplicaciones pagas de forma gratuita.
Desde la prohibición de EE. UU., los teléfonos Huawei no han tenido acceso a Google Play Store para descargar aplicaciones. El OEM chino ofrece su propia AppGallery, que forma parte de su conjunto de servicios móviles de Huawei.
Desarrollador de Android descubrió la última falla en la tienda de aplicaciones de Huawei Dylan Roussel. Esencialmente, la API de AppGallery no ofrece ninguna protección para aplicaciones pagas. Se necesita un poco de trabajo y algunos conocimientos técnicos, pero si los tiene, puede obtener fácilmente un enlace APK para aplicaciones premium y descargarlas sin pagar nada.
Roussel pudo descargar y usar múltiples aplicaciones pagas al explotar la vulnerabilidad. Señala que el problema no radica en que los desarrolladores de aplicaciones no habiliten la verificación de licencias en sus aplicaciones. Es un problema que Huawei necesita resolver al final.
Esto no solo priva a los desarrolladores de sus ganancias potenciales, sino que también es una puerta de entrada accesible para la piratería de aplicaciones. Los atacantes podrían usar la API para descargar una gran cantidad de aplicaciones pagas sin siquiera tener que pasar por AppGallery.
Roussel informó a Huawei sobre la falla en febrero. Les dio cinco semanas para solucionar el problema. Sin embargo, semanas después, el problema persiste. Las aplicaciones pagas todavía se pueden descargar libremente desde AppGallery. Sin embargo, suponemos que no pasará mucho tiempo antes de que la empresa arregle las cosas. Recientemente reconoció el correo electrónico de Roussel y asignó una identificación a la vulnerabilidad. También le ofrecieron una recompensa por errores, pero la rechazó por motivos personales.
