In occasione del rilascio dell’Android Security Bulletin del mese di luglio 2024, Google ha corretto 27 vulnerabilità all’interno del suo sistema operativo mobile.
Al momento non c’è alcuna conferma su un eventuale sfruttamento delle vulnerabilità in attacchi in rete.
L’exploit delle vulnerabilità potrebbe consentire di condurre attacchi di tipo:
- esecuzione di codice arbitrario (Arbitrary Code Execution);
- divulgazione di informazioni (Information Disclosure);
- elevazione di privilegi (Privilege Escalation).
- Denial of Service
Secondo il bollettino pubblicato dal CSIRT Italia, l’impatto delle vulnerabilità è alto/arancione (65,12/100).
Come di consueto, l’Android Security Bulletin di luglio 2024 è stato suddiviso in due pacchetti cumulativi di aggiornamenti: il primo, catalogato come 2024-07-01 security patch level, riguarda le principali componenti del sistema operativo Android 12, 12L, 13 e 14 con patch di sicurezza precedenti a luglio 2024.
Il secondo, catalogato come 2024-07-05 security patch level, affronta e risolve i problemi di sicurezza identificati nei componenti dei fornitori closed-source.
Ulteriori dettagli sugli aggiornamenti dell’Android Security Bulletin di luglio 2024 sono disponibili sulla pagina dedicata.
Indice degli argomenti
Le vulnerabilità del primo security patch level
Con il primo pacchetto di patch contenute nell’Android Security Bulletin di luglio 2024, identificato come 2024-07-01 security patch level, sono state corrette 8 vulnerabilità, raggruppate in base al componente di sistema che influenzano.
A queste si aggiungono altre due patch per il Google Play System, per un totale di 10 problemi di sicurezza risolti.
La più grave del primo pacchetto cumulativo di aggiornamenti è la CVE-2024-31320, di tipo EoP (Elevation of Privilege): identificata nel componente Framework, è stata classificata con un indice di gravità critico.
Qualora venisse sfruttata, potrebbe portare a un’escalation locale dei privilegi senza la necessità di ulteriori privilegi di esecuzione.
Sempre nel componente Framework sono state identificate altre tre vulnerabilità: CVE-2024-31331, CVE-2024-34720 e CVE-2024-34723. Tutte sono di tipo EoP e classificate con indice di gravità elevato.
Altre quattro vulnerabilità sono state identificate nel componente System: CVE-2024-31332, CVE-2024-31339, CVE-2024-34722 e CVE-2024-34721. Le prime tre sono di tipo EoP, l’ultima è di tipo ID (information Disclosure). Tutte e quattro le vulnerabilità sono state classificate con un indice di gravità elevato.
Infine, come dicevamo, nel primo pacchetto cumulativo di patch dell’Android Security Bulletin del mese di luglio 2024 sono presenti anche due aggiornamenti per altrettante vulnerabilità nel Google Play System: tracciate come CVE-2024-34721 e CVE-2024-31339, interessano rispettivamente i componenti MediaProvider e Statsd.
Le vulnerabilità del secondo security patch level
Sono 19 le vulnerabilità corrette in occasione del rilascio dell’Android Security Bulletin di luglio 2024 con il secondo pacchetto di patch, identificato come 2024-07-05 security patch level.
Una sola di queste riguarda il componente Kernel: tracciata come CVE-2024-26923, è di tipo EoP con indice di gravità elevato. Qualora venisse sfruttata, potrebbe portare a un’escalation locale dei privilegi senza la necessità di ulteriori privilegi di esecuzione.
Tutte le altre patch riguardano componenti closed source di terze parti: Arm, Imagination Technologies, MediaTek e Qualcomm.
Di conseguenza, i dettagli tecnici e la valutazione della gravità di queste vulnerabilità sono forniti direttamente dai rispettivi produttori di componenti nei corrispondenti bollettini di sicurezza.
Ecco come aggiornare i dispositivi Android
Google ha già rilasciato tutte le patch di sicurezza Android ai propri partner con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza, pubblicandole nel repository Android Open Source Project (AOSP).
È importante che gli aggiornamenti vengano installati il prima possibile: alcuni o tutti, a seconda del dispositivo, possono essere applicati automaticamente tramite i servizi Google Play; altri, invece, potrebbero essere inviati all’utente sotto forma di un aggiornamento da parte dell’operatore o del produttore del dispositivo, e alcuni potrebbero non essere necessari.
I dispositivi Android più economici e meno aggiornati potrebbero non vedere mai gli aggiornamenti.
In tutti i casi, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Per aggiornare un dispositivo Android, è sufficiente andare su Impostazioni/Sistema/Aggiornamento sistema e selezionare Controlla aggiornamenti. In alternativa, si può accedere al menu Impostazioni/Sicurezza e privacy/Aggiornamenti e selezionare Aggiornamento di sicurezza.
Da segnalare che, se il dispositivo utilizza ancora Android 10 o versioni precedenti, vuol dire che ha raggiunto la fine del ciclo di vita (EoL) da settembre 2022 (per la versione 10) e non riceverà le correzioni per i difetti di cui sopra.
Tuttavia, alcuni aggiornamenti importanti potrebbero comunque essere distribuiti tramite gli aggiornamenti di sistema di Google Play: per scaricarli e installarli, accediamo al menu Impostazioni/Sicurezza e privacy/Aggiornamenti e selezioniamo la voce Aggiornamento di sistema di Google Play.
Per quanto tempo si ricevono gli aggiornamenti Android
Le politiche di aggiornamento di Google prevedono che i dispositivi ricevano aggiornamenti per la versione di Android installata per almeno tre anni dalla data di introduzione sul Google Store, mentre gli aggiornamenti di sicurezza saranno garantiti per tre anni dalla data di introduzione nella versione statunitense del Google Store.
Per quanto riguarda, invece, la velocità di rilascio, se i dispositivi sono stati acquistati direttamente sul Google Store allora gli aggiornamenti arriveranno entro un paio di settimane, mentre per i modelli acquistati da rivenditori di terze parti potrebbe volerci più tempo, come indicato sul sito di supporto di Google.
