Google ha rilasciato l’Android Security Bulletin di settembre 2021 contenente gli aggiornamenti che correggono le vulnerabilità di sicurezza che impattano i dispositivi Pixel di Google e gli smartphone Android di terze parti.
In particolare, le patch presenti nel pacchetto cumulativo di aggiornamenti risolvono 39 problemi di sicurezza: il più grave di questi, come si legge nell’advisory pubblicato da Google, interessa il componente Framework e potrebbe consentire a un utente malintenzionato remoto che utilizza un file appositamente creato di causare una situazione permanente di Denial of Service sul dispositivo, cioè una “negazione permanente del servizio” che causa il blocco e il successivo crash del dispositivo.
Come di consueto, gli aggiornamenti del bollettino di sicurezza Android sono stati suddivisi in due livelli di patch progressivi identificati come 2021-09-01 security patch level e 2021-09-05 security patch level.
Ulteriori dettagli sugli aggiornamenti di sicurezza Android di settembre 2021 sono disponibili sulla pagina ufficiale.
Indice degli argomenti
Aggiornamenti Android settembre 2021: come installare le patch
Google ha già rilasciato tutte le patch di sicurezza Android ai propri partner con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza, pubblicandole nel repository Android Open Source Project (AOSP).
Al momento non si hanno notizie di eventuali sfruttamenti delle nuove vulnerabilità in attacchi reali. Ciò non toglie che tutti gli aggiornamenti dovrebbero essere installati il prima possibile: alcuni o tutti, a seconda del dispositivo, possono essere applicati automaticamente tramite i servizi Google Play; altri, invece, potrebbero essere inviati all’utente sotto forma di un aggiornamento da parte dell’operatore o del produttore del dispositivo, e alcuni potrebbero non essere necessari.
I dispositivi Android più economici e meno aggiornati potrebbero non vedere mai gli aggiornamenti.
In tutti i casi, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Per quanto tempo si ricevono gli aggiornamenti Android
Le politiche di aggiornamento di Google prevedono che i dispositivi ricevano aggiornamenti per la versione di Android installata per almeno tre anni dalla data di introduzione sul Google Store, mentre gli aggiornamenti di sicurezza saranno garantiti per tre anni dalla data di introduzione nella versione statunitense del Google Store.
Per quanto riguarda, invece, la velocità di rilascio, se i dispositivi sono stati acquistati direttamente sul Google Store allora gli aggiornamenti arriveranno entro un paio di settimane, mentre per i modelli acquistati da rivenditori di terze parti potrebbe volerci più tempo, come indicato sul sito di supporto di Google.
I dettagli del primo security patch level
Con il primo pacchetto di patch, identificato come 2021-09-01 security patch level, sono state corrette 16 vulnerabilità, raggruppate in base al componente di sistema che influenzano.
In particolare, sette vulnerabilità(CVE-2021-0687, CVE-2021-0595, CVE-2021-0683, CVE-2021-0684, CVE-2021-0685, CVE-2021-0688, CVE-2021-0686), la prima di tipo DoS (Denial of Service), altre cinque di tipo EoP (Elevation of Privilege) e una di tipo ID (Information Disclosure), sono state identificate nel modulo Framework di Android, che funge da strato intermedio tra il sistema operativo e il software che lo utilizza.
La vulnerabilità più grave in questa sezione potrebbe consentire ad un attaccante remoto che utilizza un file appositamente creato di causare una condizione di negazione permanente del servizio (DoS, Denial of Service) con conseguente blocco e successivo crash del dispositivo.
Altre due vulnerabilità (CVE-2021-0689, CVE-2021-0690), entrambe di tipo ID (Information Disclosure), sono state individuate nel modulo Media Framework e la più grave potrebbe permettere a un’applicazione maligna locale di aggirare le protezioni del sistema operativo che isolano i dati dell’applicazione da altre applicazioni.
Infine, altre sette vulnerabilità (CVE-2021-0598, CVE-2021-0692, CVE-2021-0428, CVE-2021-0644, CVE-2021-0682, CVE-2021-0693, CVE-2021-0691), le prime due di tipo EoP, quattro di tipo ID e l’ultima ancora di tipo EoP, sono state corrette nel modulo System.
La vulnerabilità più grave in questa sezione potrebbe consentire a un’applicazione maligna locale di aggirare i requisiti di interazione dell’utente per ottenere l’accesso a permessi aggiuntivi.
Oltre a queste falle, tra le vulnerabilità corrette con il primo security patch level Google menziona anche un problema di sicurezza (CVE-2021-0690) risolto con gli aggiornamenti del sistema Google Play. Questi problemi sono inclusi nei componenti Media Codecs.
I dettagli del secondo security patch level
Con il secondo pacchetto di patch, identificato come 2021-09-05 security patch level, sono state corrette 23 vulnerabilità, raggruppate in base al componente di sistema che influenzano e dovrebbero essere applicate a seconda dell’hardware e del sistema operativo installati sul dispositivo. Ecco i dettagli.
Una vulnerabilità di tipo ID (CVE-2021-0695) è stata identificata nel modulo Kernel components e potrebbe consentire a un’applicazione maligna locale di aggirare le protezioni del sistema operativo che isolano i dati dell’applicazione da altre applicazioni.
Altre due vulnerabilità (CVE-2021-0680, CVE-2021-0681) sono state identificate nel modulo MediaTek Components. I dettagli tecnici sono forniti direttamente da MediaTek, così come la valutazione della gravità di questo problema di sicurezza.
Sono state identificate anche due vulnerabilità (CVE-2021-0635, CVE-2021-0636) anche in Unisoc components. Ulteriori dettagli sono disponibili direttamente nel bollettino di sicurezza rilasciato da Unisoc, così come il livello di gravità.
Infine, cinque vulnerabilità sono state identificate nel modulo Qualcomm components (CVE-2021-1941, CVE-2021-1948, CVE-2021-1974, CVE-2021-30290, CVE-2021-30294) e altre tredici nel modulo Qualcomm closed-source components (CVE-2021-1886, CVE-2021-1888, CVE-2021-1889, CVE-2021-1890, CVE-2021-1933, CVE-2021-1946, CVE-2021-1909, CVE-2021-1923, CVE-2021-1934, CVE-2021-1935, CVE-2021-1952, CVE-2021-1971, CVE-2021-30295). Anche in questo caso, i dettagli tecnici e la valutazione della gravità di questi problemi di sicurezza sono forniti direttamente da Qualcomm nei rispettivi bollettini di sicurezza.
