Android

Scoperta falla di sicurezza di Android per 950 milioni di telefoni

Una vulnerabilità di sicurezza enorme in Android è stata scoperta da un ricercatore, che ha rivelato che i dispositivi possono essere attaccati utilizzando nient’altro che un semplice messaggio MMS. L’exploit dovrebbe influenzare quasi tutti i dispositivi Android attualmente in uso oggi, ossia quelli che eseguono tutte le versioni del sistema operativo da Android 2.2 Froyo in poi.

Joshua Drake, capo della ricerca condotta dall’azienda Zimperium, ha scoperto diverse vulnerabilità in un componente fondamentale del sistema operativo chiamato ‘Stagefright‘, che viene utilizzato per riprodurre, creare e modificare file multimediali. Egli descrive questa falla di sicurezza di Android come “la peggiore vulnerabilità Android scoperta fino ad oggi”, aggiungendo che “se il vecchio ‘heartbleed’ dei PC fece correre un brivido lungo la schiena, questo è molto peggio”.

android-hacker-informatblog

Ha scoperto che alcune di queste vulnerabilità potrebbero essere sfruttate per l’esecuzione da remoto di codice sul dispositivo, semplicemente ricevendo un messaggio MMS, o guardando un file video appositamente costruito in un browser Web, o anche visualizzando una pagina web apparentemente innocente con contenuti multimediali incorporati.

Come spiega PC World, “La libreria non viene utilizzata solo per la riproduzione multimediale, ma anche per generare automaticamente miniature di foto o per estrarre metadati da file video e audio come lunghezza, altezza, frame rate e altre informazioni simili. Questo significa che gli utenti non devono necessariamente eseguire i file multimediali dannosi affinchè le vulnerabilità trovate da Drake possano essere sfruttate. La semplice riproduzione di tali file è sufficiente”.

Ciò che rende questa minaccia particolarmente preoccupante è che non richiede alcuna autorizzazione da parte dell’utente. Drake sottolinea che il telefono potrebbe ricevere un MMS mentre state dormendo, eseguire codice dannoso sul dispositivo, e quindi impostare il messaggio MMS per autoeliminarsi, in modo che non possiate nemmeno essere consapevoli del fatto che il dispositivo è appena stato hackerato.

Tuttavia, gli aggressori sono limitati nelle capacità che possono essere sfruttate sfruttando la vulnerabilità; alcuni dispositivi danno privilegi superiori a Stagefright rispetto ad altri e pertanto la misura della vulnerabilità differisce tra dispositivi. Sulla maggior parte di essi, fotocamera, microfono e la partizione di archiviazione esterna saranno vulnerabili, ma Drake ritiene che circa il 50% dei dispositivi interessati esegue Stagefright con privilegi più elevati, rendendo più facile ottenere l’accesso root e prendere completamente il controllo.

Drake non ha solo pubblicato le informazioni sulle vulnerabilità, ma ha anche creato le patch e le ha date a Google ad aprile. Egli dice che Google ha aggiunto le correzioni al suo codice di base di Android interno entro 48 ore. Tuttavia, il tasso al quale gli aggiornamenti Android vengono rilasciati è notoriamente lento – otto mesi dopo il suo lancio, Lollipop aveva raggiunto solo il 12% dei dispositivi attuali. Drake ritiene che circa il 95% dei dispositivi Android in uso oggi – circa 950 milioni in totale – sono ancora vulnerabili.

Si potrebbe voler dare la colpa agli operatori di telefonia mobile per questo, ma anche i dispositivi Nexus di Google ne sono influenzati, in quanto la società non li ha ancora patchati contro questa vulnerabilità. Drake ha detto a PC World che il Nexus 6 è stato l’unico dispositivo di Google che ha ricevuto correzioni finora, e sul suo blog include anche gli screenshot, ripresi con un Nexus 5 che esegue l’ultima versione di Android, 5.1.1 Lollipop.

android-stagefright-exploit_story

E poiché molti produttori e operatori di telefonia abbandonano i loro dispositivi dopo 18-24 mesi senza rilasciare ulteriori aggiornamenti, egli ritiene che sia ottimistico credere che anche il 50% dei dispositivi Android vulnerabili a questa minaccia sarà correttamente sistemato, e questo fatto lascerà un numero enorme di utenti a rischio.

Drake presenterà maggiori dettagli sulla sua ricerca della vulnerabilità alla conferenza sulla sicurezza Black Hat USA il 5 agosto, e al DEF CON 23 il 7 agosto. (Fonte)

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Le guide più interessanti