Puntuale come ogni mese, Google ha rilasciato l’Android Security Bulletin di ottobre 2021 contenente gli aggiornamenti che correggono le vulnerabilità di sicurezza che impattano i dispositivi Pixel di Google e gli smartphone Android di terze parti.
Le patch contenute nel pacchetto cumulativo di aggiornamenti di questo mese risolvono 51 problemi di sicurezza: il più grave di questi problemi è relativo a una vulnerabilità di sicurezza critica nel componente System che potrebbe consentire a un utente remoto che utilizza una trasmissione appositamente elaborata di eseguire codice arbitrario nel contesto di un processo privilegiato.
Gli aggiornamenti del bollettino di sicurezza Android, come di consueto, sono stati suddivisi in due livelli di patch progressivi identificati come 2021-10-01 security patch level e 2021-10-05 security patch level.
Ulteriori dettagli sugli aggiornamenti di sicurezza Android di ottobre 2021 sono disponibili sulla pagina ufficiale.
Indice degli argomenti
Aggiornamenti Android ottobre 2021: come installare le patch
Google ha già rilasciato tutte le patch di sicurezza Android ai propri partner con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza, pubblicandole nel repository Android Open Source Project (AOSP).
Al momento, come dicevamo, non si hanno notizie di eventuali sfruttamenti delle nuove vulnerabilità in attacchi reali. Ciò non toglie che tutti gli aggiornamenti dovrebbero essere installati il prima possibile: alcuni o tutti, a seconda del dispositivo, possono essere applicati automaticamente tramite i servizi Google Play; altri, invece, potrebbero essere inviati all’utente sotto forma di un aggiornamento da parte dell’operatore o del produttore del dispositivo, e alcuni potrebbero non essere necessari.
I dispositivi Android più economici e meno aggiornati potrebbero non vedere mai gli aggiornamenti.
In tutti i casi, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Per quanto tempo si ricevono gli aggiornamenti Android
Le politiche di aggiornamento di Google prevedono che i dispositivi ricevano aggiornamenti per la versione di Android installata per almeno tre anni dalla data di introduzione sul Google Store, mentre gli aggiornamenti di sicurezza saranno garantiti per tre anni dalla data di introduzione nella versione statunitense del Google Store.
Per quanto riguarda, invece, la velocità di rilascio, se i dispositivi sono stati acquistati direttamente sul Google Store allora gli aggiornamenti arriveranno entro un paio di settimane, mentre per i modelli acquistati da rivenditori di terze parti potrebbe volerci più tempo, come indicato sul sito di supporto di Google.
I dettagli del primo security patch level
Con il primo pacchetto di patch, identificato come 2021-10-01 security patch level, sono state corrette 10 vulnerabilità, raggruppate in base al componente di sistema che influenzano.
In particolare, una vulnerabilità (CVE-2021-0703) di tipo EoP (Elevation of Privilege) è stata identificata nel modulo Android Runtime e potrebbe consentire a un attaccante locale con accesso fisico al dispositivo di eseguire codice arbitrario per ottenere l’accesso a permessi aggiuntivi.
Altre sei vulnerabilità (CVE-2021-0652, CVE-2021-0705, CVE-2021-0708, CVE-2020-15358, CVE-2021-0702, CVE-2021-0651), le prime tre di tipo EoP, altre due di tipo ID (Information Disclosure) e una di tipo DoS (Denial of Service), sono state identificate nel modulo Framework di Android, che funge da strato intermedio tra il sistema operativo e il software che lo utilizza.
La vulnerabilità più grave in questa sezione potrebbe consentire a un’applicazione locale dannosa di eseguire codice arbitrario nel contesto di un processo privilegiato.
Un’altra vulnerabilità (CVE-2021-0483) di tipo EoP è stata identificata nel componete Media Framework e potrebbe consentire a un’applicazione locale dannosa di eseguire codice arbitrario nel contesto di un processo privilegiato.
Infine, altre due vulnerabilità sono state identificate nel componente System: la prima è di tipo ID, la seconda di tipo DoS. La più grave di queste potrebbe consentire a un attaccante locale con accesso privilegiato di ottenere l’accesso a dati sensibili.
I dettagli del secondo security patch level
Con il secondo pacchetto di patch, identificato come 2021-10-05 security patch level, sono state corrette 41 vulnerabilità, raggruppate in base al componente di sistema che influenzano e dovrebbero essere applicate a seconda dell’hardware e del sistema operativo installati sul dispositivo.
Tutte e tre le vulnerabilità critiche corrette con gli aggiornamenti di sicurezza dell’Android Security Bulletin del mese di ottobre 2021 sono raggruppate in questo secondo security patch level: la prima interessa il componente System, mentre le altre due riguardano il componente WLAN dei driver Qualcomm.
In particolare, la vulnerabilità CVE-2021-0870 identificata nel componente System è di tipo RCE (Remote Code Execution) e, qualora venisse sfruttata, potrebbe consentire a un utente remoto di eseguire codice arbitrario nel contesto di un processo privilegiato.
I dettagli tecnici e la valutazione della gravità delle altre due vulnerabilità critiche (CVE-2020-11264 e CVE-2020-11301) sono forniti direttamente da Qualcomm nei rispettivi bollettini di sicurezza, così come quelli degli altri problemi di sicurezza in questa sezione (CVE-2020-11264, CVE-2020-11264, CVE-2020-24587, CVE-2020-24588, CVE-2020-26139, CVE-2020-26141, CVE-2020-26145, CVE-2020-26146, CVE-2021-1977, CVE-2021-1980, CVE-2021-30305, CVE-2021-30306, CVE-2021-30312).
Allo stesso modo, i dettagli tecnici e la valutazione della gravità delle altre 21 vulnerabilità identificate nei componenti Qualcomm closed-source sono forniti direttamente da Qualcomm nei rispettivi bollettini di sicurezza.
Nel secondo pacchetto di patch vengono affrontate cinque vulnerabilità (CVE-2020-29368, CVE-2020-29660, CVE-2021-0707, CVE-2020-10768, CVE-2021-29647) nel componente Kernel: le prime tre sono di tipo EoP, mentre le rimanenti due sono di tipo ID.
La vulnerabilità più grave in questa sezione potrebbe consentire a un attaccante locale di eseguire codice arbitrario nel contesto di un processo privilegiato.
Infine, un’altra vulnerabilità di tipo ID (CVE-2021-27666) è stata identificata nel componente Telecommunication e, se sfruttata, potrebbe portare alla divulgazione di informazioni in remoto senza la necessità di ulteriori privilegi di esecuzione.
