Gli aggiornamenti di sicurezza Android contenuti nel nuovo Android Security Bulletin relativo al mese di maggio 2019 contengono i dettagli su 30 vulnerabilità che interessano i dispositivi mobile sui quali è installato il sistema operativo di Google.
La più grave delle vulnerabilità corrette con questi nuovi aggiornamenti di sicurezza Android riguarda il modulo Media Framework e potrebbe consentire ad un eventuale attaccante di eseguire codice arbitrario da remoto (RCE, Remote Code Execution) con privilegi elevati nei dispositivi mobile sui quali è in esecuzione l’OS del robotino verde.
L’aggiornamento, come sempre, è suddiviso in due livelli di patch progressivi identificati come 2019-05-01 security patch level e 2019-05-05 security patch level.
Indice degli argomenti
Come aggiornare il proprio dispositivo Android
Tutte le patch comprese nei nuovi aggiornamenti di sicurezza Android sono già state rese disponibili da Google ai propri partner con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza e sono state rilasciate nel repository Android Open Source Project (AOSP).
Al momento non si hanno notizie circa uno sfruttamento di queste vulnerabilità in attacchi reali.
In generale, però, tutti gli aggiornamenti dovrebbero essere installati il prima possibile: alcuni o tutti, a seconda del dispositivo, possono essere applicati automaticamente tramite i servizi Google Play; altri, invece, potrebbero essere inviati all’utente sotto forma di un aggiornamento da parte dell’operatore o del produttore del dispositivo, e alcuni potrebbero non essere necessari.
Alcuni dispositivi più “sfortunati”, invece, soprattutto i modelli più economici e meno aggiornati, potrebbero non vedere mai gli aggiornamenti.
In questo caso, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Aggiornamenti Android: i dettagli del primo security patch level
Con il primo pacchetto di patch, identificato come 2019-05-01 security patch level, vengono corrette le seguenti 10 vulnerabilità.
La prima, di tipo EoP (Elevation of Privilege), interessa il modulo Framework (che funge da strato intermedio tra il sistema operativo e il software che lo utilizza) e potrebbe consentire ad una applicazione dannosa locale di aggirare i requisiti di interazione dell’utente per ottenere l’accesso ad ulteriori permessi:
- CVE-2019-2043 (Moderata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
C’è poi la vulnerabilità critica di tipo RCE (Remote Code Execution) di cui parlavamo prima che interessa il modulo Media Framework e che potrebbe consentire a un attaccante remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-2044 (Critica, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
Infine, le ultime 8 vulnerabilità del primo security patch level interessano il modulo System e la più grave potrebbe consentire a un attaccante remoto che utilizza un file PAC (Proxy Auto Configuration) appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-2045 (Critica, per le versioni 7.0, 7.1.1, 7.1.2, 8.1, 9 di Android)
- CVE-2019-2046 (Critica, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-2047 (Critica, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-2049 (Elevata, per la versione 9 di Android)
- CVE-2019-2050 (Elevata, per le versioni 8.0, 8.1, 9 di Android)
- CVE-2019-2051 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-2052 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.1, 9 di Android)
- CVE-2019-2053 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
Aggiornamenti Android: i dettagli del secondo security patch level
Ecco invece i dettagli per ciascuna delle vulnerabilità di sicurezza contenute nel secondo pacchetto di aggiornamenti, identificato come 2019-05-05 security patch level, e che dovrebbero essere applicate a seconda dell’hardware e del sistema operativo installati sul dispositivo.
La prima interessa il modulo Kernel components e potrebbe consentire a un aggressore locale di scalare i propri privilegi senza che siano necessari ulteriori privilegi di esecuzione nel contesto di un processo privilegiato:
- CVE-2019-2054 (Moderata, interessa il componente seccomp)
Un’altra vulnerabilità è stata individuata nel modulo NVIDIA components e potrebbe consentire ad un aggressore locale di scalare i privilegi (con ulteriori privilegi di esecuzione necessari) ed eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2018-6243 (Elevata, interessa il componente Pixel C TrustZone)
È stata individuata un’altra vulnerabilità anche nel modulo Broadcom components che potrebbe consentire ad un aggressore remoto che utilizza una connessione appositamente creata di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2018-19860 (Elevata, interessa il componente Bluetooth firmware)
Altre due vulnerabilità sono state individuate nel modulo Qualcomm components
- CVE-2018-11955 (Elevata, interessa il componente WLAN driver)
- CVE-2018-13919 (Elevata, interessa il componente Data HLOS – LNX)
Infine, ecco le altre 15 vulnerabilità identificate nel modulo Qualcomm closed-source components che interessano tutte componenti closed-source del sistema operativo. I dettagli sono elencati nei rispettivi bollettini di sicurezza rilasciati da Qualcomm:
- CVE-2018-5912 (Critica, interessa un componente closed-source)
- CVE-2018-13898 (Critica, interessa un componente closed-source)
- CVE-2019-2255 (Critica, interessa un componente closed-source)
- CVE-2019-2256 (Critica, interessa un componente closed-source)
- CVE-2018-13901 (Elevata, interessa un componente closed-source)
- CVE-2018-13902 (Elevata, interessa un componente closed-source)
- CVE-2018-13906 (Elevata, interessa un componente closed-source)
- CVE-2018-13907 (Elevata, interessa un componente closed-source)
- CVE-2018-13908 (Elevata, interessa un componente closed-source)
- CVE-2018-13909 (Elevata, interessa un componente closed-source)
- CVE-2018-13910 (Elevata, interessa un componente closed-source)
- CVE-2018-13911 (Elevata, interessa un componente closed-source)
- CVE-2018-5913 (Elevata, interessa un componente closed-source)
- CVE-2019-2257 (Elevata, interessa un componente closed-source)
- CVE-2019-2259 (Elevata, interessa un componente closed-source)
