Google ha rilasciato l’Android Security Bulletin relativo al mese di dicembre 2019 con gli aggiornamenti di sicurezza per 44 vulnerabilità individuate in diverse componenti del sistema operativo di Google.
Di queste, 6 sono state classificate come critiche, 35 con un indice di gravità elevato e 1 con un indice di gravità moderato. Nel bollettino di sicurezza sono inoltre presenti 2 aggiornamenti per altrettante componenti multimediali di Google Play.
La più grave delle vulnerabilità corrette con gli aggiornamenti del nuovo Android Security Bulletin potrebbe consentire ad un attaccante remoto di eseguire codice arbitrario con privilegi elevati sul dispositivo target e causare una condizione di Denial of Service (DoS) con conseguente blocco del device.
Gli aggiornamenti del bollettino di sicurezza Android sono stati suddivisi, come sempre, in due livelli di patch progressivi identificati come 2019-12-01 security patch level e 2019-12-05 security patch level.
Indice degli argomenti
Ecco come aggiornare i dispositivi Android
Google ha già rilasciato tutte le patch di sicurezza Android ai propri partner con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza, pubblicandole nel repository Android Open Source Project (AOSP).
Per fortuna, non si hanno notizie di eventuali sfruttamenti delle nuove vulnerabilità in attacchi reali. Ciò non toglie che tutti gli aggiornamenti dovrebbero essere installati il prima possibile: alcuni o tutti, a seconda del dispositivo, possono essere applicati automaticamente tramite i servizi Google Play; altri, invece, potrebbero essere inviati all’utente sotto forma di un aggiornamento da parte dell’operatore o del produttore del dispositivo, e alcuni potrebbero non essere necessari.
I dispositivi Android più economici e meno aggiornati potrebbero non vedere mai gli aggiornamenti.
In tutti i casi, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Aggiornamenti Android: i dettagli del primo security patch level
Con il primo pacchetto di patch, identificato come 2019-12-01 security patch level, vengono corrette le seguenti 15 vulnerabilità, raggruppate in base al componente di sistema che influenzano, oltre ai due aggiornamenti di sistema per Google Play e relativi ai codec multimediali.
Le prime 6 vulnerabilità interessano il modulo Framework (che funge da strato intermedio tra il sistema operativo e il software che lo utilizza): una è di tipo DoS, Denial of Service, quattro sono di tipo EoP, Elevation of Privilege, e 1 di tipo ID, Information disclosure.
La vulnerabilità più grave di questa sezione potrebbe consentire a un aggressore remoto che utilizza un messaggio di testo appositamente creato di causare uno stato permanente di Denial of Service del dispositivo:
- CVE-2019-2232 (Critica, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-9464 (Elevata, per la versione 10 di Android)
- CVE-2019-2217 (Elevata, per la versione 10 di Android)
- CVE-2019-2218 (Elevata, per la versione 10 di Android)
- CVE-2019-2220 (Elevata, per le versioni 9, 10 di Android)
- CVE-2019-2221 (Moderata, per la versione 10 di Android)
Altre 2 vulnerabilità di tipo RCE (Remote Code Execution) interessano, invece, il modulo Media Framework. La vulnerabilità più grave di questa sezione potrebbe consentire a un attaccante remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-2222 (Critica, per le versioni 8.0, 8.1, 9; Moderata per la versione 10 di Android)
- CVE-2019-2223 (Critica, per le versioni 8.0, 8.1, 9; Moderata per la versione 10 di Android)
Infine, le ultime 7 vulnerabilità di questo primo pacchetto di patch sono state individuate nel modulo System. La prima è di tipo RCE (Remote Code Execution), la seconda di tipo EoP (Elevation of Privilege) e infine le ultime cinque sono di tipo ID (Information Disclosure). Anche in questo caso, la più grave potrebbe consentire a un attaccante remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-2224 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2225 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2226 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2227 (Elevata, per le versioni 9, 10 di Android)
- CVE-2019-2228 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2229 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2230 (Elevata, per la versione 10 di Android)
Come dicevamo, in questo primo pacchetto di patch sono inclusi anche due aggiornamenti per i Media Codecs di Google Play:
Aggiornamenti Android: i dettagli del secondo security patch level
Come di consueto, le patch di sicurezza contenute nel secondo pacchetto di aggiornamenti, identificato come 2019-12-05 security patch level, dovrebbero essere applicate a seconda dell’hardware e del sistema operativo installati sul dispositivo. Ecco i dettagli.
La prima vulnerabilità, di tipo ID (Information Disclosure), è stata individuata nel modulo Framework. Se sfruttata con successo, potrebbe consentire ad un’applicazione dannosa locale di bypassare le protezioni del sistema operativo che isolano i dati dei sensori da altre applicazioni:
- CVE-2019-2219 (Elevata, per le versioni 9, 10 di Android)
Un’altra vulnerabilità, anch’essa di tipo ID (Information Disclosure), è stata individuata nel modulo System e potrebbe consentire ad un’applicazione dannosa locale di bypassare le protezioni del sistema operativo che isolano i dati dei sensori da altre applicazioni:
- CVE-2019-2231 (Elevata, per le versioni 9, 10 di Android)
Altre tre vulnerabilità di tipo EoP sono state individuate nel modulo Kernel Components. La vulnerabilità più grave di questa sezione potrebbe consentire ad un’applicazione dannosa locale di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2018-20961 (Elevata, interessa il componente USB MIDI class function driver)
- CVE-2019-15220 (Elevata, interessa il componente Prism54 WiFi USB Driver)
- CVE-2019-15239 (Elevata, interessa il componente TCP Stack)
Altre 12 vulnerabilità sono state individuate nel modulo Qualcomm components. I dettagli sono elencati nei rispettivi bollettini di sicurezza rilasciati da Qualcomm:
- CVE-2019-10557 (Elevata, interessa il componente WLAN host)
- CVE-2018-11980 (Elevata, interessa il componente WLAN host)
- CVE-2019-10480 (Elevata, interessa il componente WLAN host)
- CVE-2019-10481 (Elevata, interessa il componente WLAN host)
- CVE-2019-10536 (Elevata, interessa il componente WLAN host)
- CVE-2019-10537 (Elevata, interessa il componente WLAN host)
- CVE-2019-10595 (Elevata, interessa il componente WLAN host)
- CVE-2019-10598 (Elevata, interessa il componente WLAN host)
- CVE-2019-10601 (Elevata, interessa il componente WLAN host)
- CVE-2019-10605 (Elevata, interessa il componente WLAN host)
- CVE-2019-10607 (Elevata, interessa il componente Security)
- CVE-2019-2304 (Elevata, interessa il componente WLAN host)
Le ultime 10 vulnerabilità sono state identificate nel modulo Qualcomm closed-source components che interessano tutte componenti closed-source del sistema operativo. Anche in questo caso, i dettagli sono elencati nei rispettivi bollettini di sicurezza rilasciati da Qualcomm:
- CVE-2019-2242 (Critica, interessa un componente closed-source)
- CVE-2019-10500 (Critica, interessa un componente closed-source)
- CVE-2019-10525 (Critica, interessa un componente closed-source)
- CVE-2019-10482 (Elevata, interessa un componente closed-source)
- CVE-2019-10487 (Elevata, interessa un componente closed-source)
- CVE-2019-10516 (Elevata, interessa un componente closed-source)
- CVE-2019-2274 (Elevata, interessa un componente closed-source)
- CVE-2019-10513 (Elevata, interessa un componente closed-source)
- CVE-2019-10517 (Elevata, interessa un componente closed-source)
- CVE-2019-10600 (Elevata, interessa un componente closed-source)
