60% degli smartphone Android vulnerabili ad un problema critico

Ti interessa questa notizia? Condividila sui tuoi social preferiti!

Il 60% dei telefoni Android è vunerabile ad un problema critico. Scoperta dal ricercatore Gal Beniamini, la vulnerabilità (CVE-2.015-6.639) consente a un utente malintenzionato di eseguire codice all’interno di Qualcomm Secure Execution Environment (QSEE).

Infatti sulla maggior parte delle piattaforme mobili viene pre-installato un ambiente di fiducia per l’esecuzione di codice che viene segregato dal sistema operativo normale. Questo ambiente è stato creato da TrustZone.

QSEE si riferisce all’implementazione di Qualcomm del software TrustZone. Come tale, essa è divisa tra due ambienti: i mondi “non attendibile” e “attendibile”.

android-vulnerabilita-informatblog

Il sistema operativo e le app funzionano nel mondo “non attendibile“, mentre le funzioni più sensibili (come ad esempio la gestione delle chiavi crittografiche e dei dati cifrati) prendono posto nel mondo “attendibile“.

Questi due regni dovrebbero rimanere separati eccetto durante lo sviluppo. Ma Beniamini ha rilevato un metodo con cui gli aggressori possono accedere al mondo “attendibile” dal mondo “non attendibili”. Tutti ciò che serve è un’applicazione attendibile vulnerabile:

“… La comunicazione con TrustZone espone una grande superficie di attacco: eventuali app attendibili che possono essere caricate su un particolare dispositivo che contengono una vulnerabilità, possono essere sfruttate al fine di eseguire codice all’interno dell’ambiente di esecuzione attendibile. Inoltre, poiché esso ha la capacità di scrivere su tutta la memoria fisica appartenente al mondo “non attendibile”, può essere utilizzato anche al fine di infettare il kernel del sistema operativo senza che ci sia una vulnerabilità nel kernel, ma semplicemente modificandone direttamente il codice”.

Il ricercatore di sicurezza ha scoperto una di queste applicazioni attendibili vulnerabili: è Widevine, un’app nel MediaServer di Android, che consente la riproduzione di materiale multimediale crittografato protetto da diritti digitali.

Sfruttando questa applicazione, il ricercatore può in un certo senso bypassare del kernel interamente ed ottenere l’accesso a QSEE. Dopo la sua scoperta, Beniamini ha testato diversi dispositivi Android e li ha trovati vulnerabili, ma dai suoi studi non è emerso con chiarezza quanti telefoni potrebbero essere stati colpiti dalla vulnerabilità.

Ci ha pensato Kyle Lady di Duo Security, che ha misurato un campione di dati di 500.000 dispositivi Android. Di questi, il 60% sono stati trovati vulnerabili.

Non solo, ma il 27% di questi dispositivi sono stati trovati essere “permanentemente vulnerabili” nel senso che sono troppo vecchi per ricevere aggiornamenti mensili. In tal caso, tali dispositivi possono essere protetti solo tramite un aggiornamento ad almeno Android 4.4.4 o ricevendo una patch su tale versione e modello.

Quest’ultima soluzione è improbabile. Anche sui modelli più recenti che ricevono le patch ogni mese, è improbabile che gli utenti riceveranno l’aggiornamento presto. Come ha detto Lady, “non c’è davvero alcun modo per forzare una patch”, ha detto. “Se non è un telefono Nexus, il produttore deve applicare la patch al software, quindi inviarla all’operatore telefonico, che la deve approvare, e poi inviarla ai clienti che utilizzano quel telefono. Così c’è un notevole ritardo”.

Siamo chiari: questa vulnerabilità non è così grave come Stagefright, ma ad ogni modo, mentre attendete una correzione, dovreste installare app provenienti solo da fonti attendibili. Dovreste anche controllare regolarmente i vostri dispositivi per verificare gli aggiornamenti di sicurezza e installarli il più presto possibile. (Fonte)

Loading...

Aggiungi commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *