Google ha cinque aggiornamenti di sicurezza di Android per i Nexus

Ti interessa questa notizia? Condividila sui tuoi social preferiti!

Google ha risolto 12 bug di sicurezza nel codice sorgente di Android, di cui cinque che riuscirebbero ad eseguire codice remoto o a ottenere l’accesso root, con un aggiornamento per i suoi Nexus.

Il colosso di Mountain View ha detto il suo aggiornamento di sicurezza di gennaio Android include patch per cinque vulnerabilità di sicurezza segnalate come “critiche”, due rischi per la sicurezza considerati “alti”, e cinque difetti classificati come “moderati”. L’aggiornamento è arrivato sui dispositivi Nexus come download over-the-air, quindi controllate la disponibilità degli aggiornamenti e installateli subito.

Gli errori di sicurezza di seguito elencati sono presenti in varie versioni di Android, dalla 4.4 KitKat alla 6 Marshmallow.

Problema CVE Importanza
Remote Code Execution Vulnerability in Media Server CVE-2015-6636 Critica
Elevation of Privilege Vulnerability in misc-sd driver CVE-2015-6637 Critica
Elevation of Privilege Vulnerability in the Imagination Technologies driver CVE-2015-6638 Critica
Elevation of Privilege Vulnerabilities in Trust Zone CVE-2015-6639 Critica
Elevation of Privilege Vulnerability in Kernel CVE-2015-6640 Critica
Elevation of Privilege Vulnerability in Bluetooth CVE-2015-6641 Alta
Information Disclosure Vulnerability in Kernel CVE-2015-6642 Alta
Elevation of Privilege Vulnerability in Setup Wizard CVE-2015-6643 Moderata
Elevation of Privilege Vulnerability in Wi-Fi CVE-2015-5310 Moderata
Information Disclosure Vulnerability in Bouncy Castle CVE-2015-6644 Moderata
Denial of Service Vulnerability in SyncManager CVE-2015-6645 Moderata
Attack Surface Reduction for Nexus Kernels CVE-2015-6646 Moderata

I cinque bug critici includono un difetto che consente esecuzione di codice remoto (CVE-2015-6636), in cui un attaccante può iniettare del malware in un dispositivo per mezzo di un errore di corruzione della memoria in Media Server. Tale difetto può essere sfruttato tramite l’utilizzo di un file multimediale valido incluso in una pagina web, email, o MMS inviato al bersaglio.

nexus-sicurezza-google-informatblog

Gli altri quattro bug critici riguardano tutti difetti di elevazione di privilegi che possono essere sfruttate per fare il root ad un dispositivo. Un’applicazione già installata sul dispositivo potrebbe sfruttare uno dei quattro difetti per aggirare le protezioni di sicurezza Android su applicazioni di terze parti. Qualora un exploit come tale si verifichi, l’unico modo per rimuovere l’applicazione sarebbe resettando il sistema operativo.

Gli aggiornamenti rimanenti sono costituite da tre vulnerabilità di elevazione di privilegi, due di divulgazione di informazioni, una vulnerabilità Denial Of Service e una “riduzione della superficie di attacco” che cancella una componente non utilizzata nel kernel di Android.

Google rilascia solo aggiornamenti per i suoi dispositivi Nexus. Gli altri telefoni e tablet Android dovranno essere aggiornati dai rispettivi fornitori, quindi dovrete aspettare che ci mettano le mani. Google ha detto di aver inviato gli aggiornamenti a tutti i suoi partner Android lo scorso 7 dicembre. Google ha aggiunto:

Abbiamo rilasciato un aggiornamento di sicurezza per dispositivi Nexus tramite un Aggiornamento over-the-air, come parte del nostro processo di aggiornamenti mensili di sicurezza. Le immagini del firmware Nexus sono state rilasciate sul sito Google Developer. Le build LMY49F o successive e Android 6.0 con patch di protezione del 1 gennaio 2016 o successive risolvono questi problemi. Fate riferimento alla sezione Domande e Risposte più comuni per ulteriori dettagli.

Le patch saranno pubblicate anche sul repository Android Open Source Platform entro i prossimi giorni. Google sottolinea inoltre che il suo sistema operativo ha alcune difese costruite per bloccare i malware che tentano di sfruttare queste falle di sicurezza: per esempio, Google Hangouts e Messenger non inoltrano automaticamente media potenzialmente pericolosi al MediaServer. (Fonte)

Loading...

Aggiungi commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *