Ago 06, 2020 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0

La tornata di update di sicurezza corregge più di 50 bug relativi al software e a componenti specifici di alcuni produttori hardware.

Sarà un’estate decisamente “calda” per gli sviluppatori che si occupano di aggiornare i sistemi Android per i vari produttori.

Il bollettino sulla sicurezza di Android pubblicato lo scorso 3 agosto da Google contiene la bellezza di 54 vulnerabilità ad altro rischio, tra cui un bug che può portare all’esecuzione di codice in remoto.

Si tratta della falla di sicurezza classificata come CVE-2020-0240 e che secondo i ricercatori di Google “potrebbe consentire a un utente malintenzionato remoto che utilizza un file appositamente predisposto di eseguire codice arbitrario nel contesto di un processo senza privilegi”.

La vulnerabilità riguarda l’Android Framework, il pacchetto di strumenti per sviluppatori che consente di realizzare applicazioni per il sistema operativo Google.

Le altre vulnerabilità a rischio elevato che riguardano quella che dalle parti di Google chiamano la “struttura” del sistema consentirebbero invece l’elevazione dei privilegi (CVE-2020-0238 e CVE-2020-0257); il furto di informazioni sensibili (CVE-2020-0239, CVE-2020-0249 e CVE-2020-0258) e, infine, la possibilità di avviare un attacco Denial of Service (CVE-2020-0247).

Nel bollettino, però, è riportata un’altra vulnerabilità che potrebbe portare all’esecuzione di codice remoto. Si tratta di una falla di sicurezza in un componente (dm-Verity) di AMLogic, società produttrice di circuiti integrati.

L’elenco delle falle che interessano componenti di terze parti, però, è piuttosto nutrito e la parte del leone, manco a dirlo, la fa Qualcomm. Sono ben 31 i bug relativi a componenti della società statunitense che vengono segnalati nel bollettino.

Ora partirà il solito percorso a ostacoli che vedrà i vari produttori applicare le patch alle rispettive versioni del loro sistema Android.

Con la solita complicazione legata non solo ai tempi diversi per il rilascio di ogni aggiornamento, ma anche al fatto che le vulnerabilità relative a componenti specifici (che quindi non riguardano tutti i dispositivi in commercio) dovranno essere selezionate e applicate dai singoli produttori.