Google ha rilasciato l’Android Security Bulletin di settembre 2023 contenente gli aggiornamenti di sicurezza per 34 vulnerabilità.
Tra queste, anche una zero-day tracciata come CVE-2023-35674 che risulta essere già attivamente sfruttata in rete. Identificata nella componente Framework del sistema operativo Android, potrebbe consentire a un attaccante di elevare i propri privilegi e prendere il controllo del dispositivo esposto.
L’exploit delle vulnerabilità potrebbe consentire di condurre attacchi di tipo:
- Denial of Service
- Information Disclosure
- Privilege Escalation
- Remote Code Execution
Come di consueto, l’Android Security Bulletin di settembre 2023 è stato suddiviso in due pacchetti cumulativi di aggiornamenti: il primo, catalogato come 2023-09-01 security patch level, riguarda le principali componenti del sistema operativo Android 11, 12, 12L, 13 con patch di sicurezza precedenti ad agosto 2023.
Il secondo, catalogato come 2023-09-05 security patch level, affronta e risolve i problemi di sicurezza identificati nei componenti hardware e dei fornitori closed-source.
Secondo il bollettino di sicurezza pubblicato dal CSIRT Italia, la stima d’impatto delle vulnerabilità è grave/rosso (77,43/100).
Ulteriori dettagli sugli aggiornamenti dell’Android Security Bulletin di settembre 2023 sono disponibili sulla pagina dedicata.
Indice degli argomenti
Le vulnerabilità del primo security patch level
Con il primo pacchetto di patch contenute nell’Android Security Bulletin di settembre 2023, identificato come 2023-09-01 security patch level, sono state corrette 20 vulnerabilità, raggruppate in base al componente di sistema che influenzano.
A queste si aggiungono altre due patch per il Google Play System, per un totale di 22 problemi di sicurezza risolti.
Come dicevamo, la vulnerabilità più grave del primo pacchetto cumulativo di aggiornamenti è la CVE-2023-35674. Identificata nel componente Framework, è di tipo EoP (Elevation of Privilege).
Il suo sfruttamento può portare a un’escalation locale dei privilegi senza la necessità di ulteriori privilegi di esecuzione e senza richiedere alcuna interazione da parte dell’utente.
Come si legge nel relativo bollettino di sicurezza, ci sono indicazioni che la CVE-2023-35674 possa essere sfruttata in modo limitato e mirato.
Le altre vulnerabilità critiche
Con il primo security patch level di settembre 2023 sono state corrette anche altre tre vulnerabilità critiche nel componente System di Android.
Tracciate come CVE-2023-35658, CVE-2023-35673 e CVE-2023-35681, possono portare all’esecuzione di codice da remoto (RCE) dopo uno sfruttamento riuscito senza richiedere ulteriori privilegi di esecuzione o l’interazione dell’utente.
Gli aggressori possono sfruttare queste vulnerabilità in attacchi di tipo RCE quando le mitigazioni della piattaforma e dei servizi sono disattivate a scopo di sviluppo o aggirate con successo.
La stessa Google invita quindi gli utenti Android ad aggiornare i propri dispositivi alle ultime versioni del sistema operativo in quanto i miglioramenti introdotti consentono di mitigare lo sfruttamento di questo e di altri problemi di sicurezza.
Le vulnerabilità del secondo security patch level
Sono invece dodici le vulnerabilità corrette in occasione del rilascio dell’Android Security Bulletin di settembre 2023 con il secondo pacchetto di patch, identificato come 2023-09-05 security patch level e relativo solo a problemi di sicurezza identificati nei componenti Qualcomm.
Tra questi, anche una vulnerabilità critica nei componenti closed source di Qualcomm: tracciata come CVE-2023-28581, è relativa a un problema di corruzione della memoria del firmware WLAN che potrebbe consentire agli aggressori remoti di eseguire codice arbitrario, leggere informazioni sensibili o provocare crash di sistema in attacchi di bassa complessità che non richiedono privilegi o interazione con l’utente.
Tutti i dettagli tecnici di questa e delle altre vulnerabilità del secondo security patch level di Android per il mese di settembre 2023 sono forniti direttamente da Qualcomm nei corrispondenti bollettini di sicurezza.
Ecco come aggiornare i dispositivi Android
Google ha già rilasciato tutte le patch di sicurezza Android ai propri partner con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza, pubblicandole nel repository Android Open Source Project (AOSP).
Ciò non toglie che tutti gli aggiornamenti dovrebbero essere installati il prima possibile: alcuni o tutti, a seconda del dispositivo, possono essere applicati automaticamente tramite i servizi Google Play; altri, invece, potrebbero essere inviati all’utente sotto forma di un aggiornamento da parte dell’operatore o del produttore del dispositivo, e alcuni potrebbero non essere necessari.
I dispositivi Android più economici e meno aggiornati potrebbero non vedere mai gli aggiornamenti.
In tutti i casi, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Per aggiornare un dispositivo Android, è sufficiente andare su Impostazioni/Sistema/Aggiornamento sistema e selezionare Controlla aggiornamenti. In alternativa, si può accedere al menu Impostazioni/Sicurezza e privacy/Aggiornamenti e selezionare Aggiornamento di sicurezza.
Da segnalare che, se il dispositivo utilizza ancora Android 10 o versioni precedenti, vuol dire che ha raggiunto la fine del ciclo di vita (EoL) da settembre 2022 (per la versione 10) e non riceverà le correzioni per i difetti di cui sopra.
Tuttavia, alcuni aggiornamenti importanti potrebbero comunque essere distribuiti tramite gli aggiornamenti di sistema di Google Play: per scaricarli e installarli, accediamo al menu Impostazioni/Sicurezza e privacy/Aggiornamenti e selezioniamo la voce Aggiornamento di sistema di Google Play.
Per quanto tempo si ricevono gli aggiornamenti Android
Le politiche di aggiornamento di Google prevedono che i dispositivi ricevano aggiornamenti per la versione di Android installata per almeno tre anni dalla data di introduzione sul Google Store, mentre gli aggiornamenti di sicurezza saranno garantiti per tre anni dalla data di introduzione nella versione statunitense del Google Store.
Per quanto riguarda, invece, la velocità di rilascio, se i dispositivi sono stati acquistati direttamente sul Google Store allora gli aggiornamenti arriveranno entro un paio di settimane, mentre per i modelli acquistati da rivenditori di terze parti potrebbe volerci più tempo, come indicato sul sito di supporto di Google.
