Un investigador ha identificado una vulnerabilidad crítica en aplicaciones de marcadores de Android que permite la ejecución de códigos MMI (Man-Machine Interface) y USSD con una sola interacción del usuario. El fallo reside en la combinación de la permisión CALL_PHONE, que otorga el derecho de realizar llamadas, con la exposición de un enlace de profundidad (deeplink) accesible desde navegadores web. Esta configuración permite a un atacante inyectar códigos de servicio en la red móvil sin que el usuario sea consciente de la acción, ya que el sistema operativo ejecuta el código y solo muestra un mensaje transitorio de ejecución, sin posibilidad de denegación.
Los códigos MMI y USSD, definidos por el estándar 3GPP, son comandos de control de la red que pueden registrar servicios como la reenvío de llamadas o consultar balances. En el caso de ACR Phone, una aplicación con más de cinco millones de instalaciones, el análisis reveló que su filtro de intenciones permitía a Chrome resolver un enlace con la acción CALL_BUTTON, lo que activaba el auto-marcado de la app. El investigador validó la explotación en un Samsung Galaxy M16 5G con Android 16, confirmando que el código se ejecutaba correctamente contra la red del operador. El problema no depende de la versión específica de Android, ya que la falta de consentimiento informado y la ausencia de registro en el historial de llamadas son características inherentes a cualquier aplicación que utilice esta permisión para ejecutar comandos de red.