Con gli aggiornamenti dell’Android Security Bulletin di gennaio 2021, Google ha corretto 43 problemi di sicurezza nel suo sistema operativo mobile: di questi, quattro sono correlati ad altrettante vulnerabilità di livello critico mentre gli altri 36 a vulnerabilità di livello alto.
Al solito, gli aggiornamenti del bollettino di sicurezza Android del mese di gennaio 2021 sono stati suddivisi in due livelli di patch progressivi identificati come 2021-01-01 security patch level e 2021-01-05 security patch level.
Indice degli argomenti
Aggiornamenti Android gennaio 2021: le vulnerabilità critiche
Le vulnerabilità più gravi corrette in occasione degli aggiornamenti Android di gennaio 2021 sono state individuate nei moduli System e Framework di Android e sono, rispettivamente, di tipo DoS (Denial of Service) ed RCE (Remote Code Execution): la prima, identificata come CVE-2021-0313 (critica), potrebbe consentire a un utente remoto di usare stringhe opportunamente predisposte per causare una condizione di Denial of Service (DoS) permanente.
L’altra vulnerabilità critica, identificata come CVE-2021-0316, potrebbe consentire a un utente remoto di eseguire codice arbitrario all’interno di un processo privilegiato sfruttando pacchetti dati opportunamente modificati.
Le altre due vulnerabilità critiche, invece, classificate rispettivamente come CVE-2020-11134 e CVE-2020-11182, riguardano alcuni componenti closed source dei chipset Qualcomm. Dall’analisi dello CSIRT Italia, la prima è causata da un buffer-overflow sullo stack di esecuzione della componente di gestione delle reti WLAN dovuta da un’impropria convalida di un indice di un array; la seconda è causata da un buffer-overflow sull’heap della componente video dovuta dall’assenza di controlli relativi agli input provenienti dagli utenti.
Ecco come aggiornare i dispositivi Android
Come al solito, Google ha già rilasciato tutte le patch di sicurezza Android ai propri partner con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza, pubblicandole nel repository Android Open Source Project (AOSP).
Per fortuna, non si hanno notizie di eventuali sfruttamenti delle nuove vulnerabilità in attacchi reali. Ciò non toglie che tutti gli aggiornamenti dovrebbero essere installati il prima possibile: alcuni o tutti, a seconda del dispositivo, possono essere applicati automaticamente tramite i servizi Google Play; altri, invece, potrebbero essere inviati all’utente sotto forma di un aggiornamento da parte dell’operatore o del produttore del dispositivo, e alcuni potrebbero non essere necessari.
I dispositivi Android più economici e meno aggiornati potrebbero non vedere mai gli aggiornamenti.
In tutti i casi, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Aggiornamenti Android: i dettagli del primo security patch level
Con il primo pacchetto di patch, identificato come 2021-01-01 security patch level, sono state corrette 23 vulnerabilità, raggruppate in base al componente di sistema che influenzano.
Le prime quindici sono state individuate nel modulo Framework che funge da strato intermedio tra il sistema operativo e il software che lo utilizza. La vulnerabilità più grave di questa sezione potrebbe consentire a un aggressore remoto di usare stringhe opportunamente predisposte per causare un Denial of Service (DoS) permanente.
Le vulnerabilità sono, nell’ordine, una di tipo DoS, otto di tipo EoP (Elevation of Privilege), quattro di tipo ID (Information Disclosure), un’altra di tipo DoS e infine una di tipo RCE (Remote Code Execution):
- CVE-2021-0313 (Critica, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
- CVE-2021-0303 (Elevata, per la versione 11 di Android)
- CVE-2021-0306 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2021-0307 (Elevata, per le versioni 10 e 11 di Android)
- CVE-2021-0310 (Elevata, per la versione 11 di Android)
- CVE-2021-0315 (Elevata, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
- CVE-2021-0317 (Elevata, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
- CVE-2021-0318 (Elevata, per le versioni 8.1, 9, 10, 11 di Android)
- CVE-2021-0319 (Elevata, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
- CVE-2021-0304 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2021-0309 (Elevata, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
- CVE-2021-0321 (Elevata, per la versione 11 di Android)
- CVE-2021-0322 (Elevata, per le versioni 9, 10, 11 di Android)
- CVE-2019-9376 (Elevata, per le versioni 8.0, 8.1, 9 di Android)
- CVE-2020-15999 (Elevata, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
Altre tre vulnerabilità riguardano il modulo Media Framework (una è di tipo RCE e due di tipo ID) e la più grave di questa sezione potrebbe consentire a un aggressore remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2016-6328 (Elevata, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
- CVE-2021-0311 (Elevata, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
- CVE-2021-0312 (Elevata, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
Altre quattro vulnerabilità (una di tipo RCE, due di tipo EoP e una di tipo ID) sono state identificate nel modulo System e la più grave di questa sezione potrebbe consentire a un aggressore remoto che utilizza una trasmissione appositamente realizzata di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2021-0316 (Critica, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
- CVE-2020-0471 (Elevata, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
- CVE-2021-0308 (Elevata, per le versioni 8.0, 8.1, 9, 10, 11 di Android)
- CVE-2021-0320 (Elevata, per le versioni 10, 11 di Android)
Infine, due vulnerabilità sono state corrette nei Media Framework components del Google Play system updates:
- CVE-2021-0311
- CVE-2021-0312
Aggiornamenti Android: i dettagli del secondo security patch level
Le patch di sicurezza contenute nel secondo pacchetto di aggiornamenti Android di gennaio, identificato come 2021-01-05 security patch level, dovrebbero essere applicate a seconda dell’hardware e del sistema operativo installati sul dispositivo. Ecco i dettagli.
Le prime tre vulnerabilità (tutte di tipo ID) sono state individuate nei Kernel components e la più grave potrebbe consentire a un’applicazione locale malevola di bypassare le protezioni del sistema operativo che isolano i dati dell’applicazione da altre applicazioni:
- CVE-2020-10732 (Elevata, interessa il componente ELF core dumps)
- CVE-2020-10766 (Elevata, interessa il componente Speculative execution)
- CVE-2020-10767 (Elevata, interessa il componente Linux kernel)
Un’altra vulnerabilità è stata identificata nei MediaTek components. I dettagli tecnici sono forniti direttamente da MediaTek, così come la valutazione della gravità di questo problema di sicurezza:
- CVE-2021-0301 (Elevata, interessa il componente ged)
Altre sei vulnerabilità interessano i componenti dei chipset Qualcomm. I dettagli tecnici sono forniti direttamente da Qualcomm, così come la valutazione della gravità di questo problema di sicurezza:
- CVE-2020-11233 (Elevata, interessa il componente Kernel)
- CVE-2020-11239 (Elevata, interessa il componente Display)
- CVE-2020-11240 (Elevata, interessa il componente Camera)
- CVE-2020-11250 (Elevata, interessa il componente Audio)
- CVE-2020-11261 (Elevata, interessa il componente Display)
- CVE-2020-11262 (Elevata, interessa il componente Display)
Infine, altre nove vulnerabilità sono state identificate nel modulo Qualcomm closed-source components e interessano tutte componenti closed-source del sistema operativo. I dettagli sono elencati nei rispettivi bollettini di sicurezza rilasciati da Qualcomm:
- CVE-2020-11134 (Critica, interessa un componente closed-source)
- CVE-2020-11182 (Critica, interessa un componente closed-source)
- CVE-2020-11126 (Elevata, interessa un componente closed-source)
- CVE-2020-11159 (Elevata, interessa un componente closed-source)
- CVE-2020-11181 (Elevata, interessa un componente closed-source)
- CVE-2020-11235 (Elevata, interessa un componente closed-source)
- CVE-2020-11238 (Elevata, interessa un componente closed-source)
- CVE-2020-11241 (Elevata, interessa un componente closed-source)
- CVE-2020-11260 (Elevata, interessa un componente closed-source)
Ulteriori dettagli sugli aggiornamenti di sicurezza Android di gennaio 2021 sono disponibili sulla pagina ufficiale.
