Con la consueta cadenza mensile, Google ha rilasciato l’Android Security Bulletin, gli aggiornamenti di sicurezza Android di febbraio 2019 con i dettagli di 42 vulnerabilità individuate nel suo sistema operativo mobile. Di queste, ben 11 sono classificate come critiche, 30 come elevate e solo una come moderata.
Il più grave dei problemi di sicurezza individuati è una vulnerabilità critica nel modulo Framework che potrebbe consentire a un attaccante remoto che utilizza un file immagine in formato PNG appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato.
Come di consuetudine, l’intero pacchetto di aggiornamenti è suddiviso in due livelli di patch progressivi, identificati rispettivamente come 2019-02-01 security patch level e 2019-02-05 security patch level.
Indice degli argomenti
Come aggiornare il proprio dispositivo Android
Per fortuna non si hanno ancora notizie circa uno sfruttamento di queste vulnerabilità in attacchi reali, ma chiaramente è opportuno procedere il prima possibile all’aggiornamento del proprio dispositivo mobile.
Tutte le patch di sicurezza Android sono già state rese disponibili da Google ai propri partner con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza e sono state rilasciate nel repository Android Open Source Project (AOSP).
Gli utenti dei dispositivi Android devono quindi attendere il rilascio degli aggiornamenti da parte dei rispettivi produttori o operatori di telefonia mobile. Come al solito, però, non tutti i produttori rilasceranno i pacchetti di update, così come i device più vecchi potrebbero non ricevere mai queste patch: in questi casi, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Aggiornamenti Android: i dettagli del primo security patch level
Con il primo pacchetto di patch, identificato come 2019-02-01 security patch level, vengono corrette le seguenti quindici vulnerabilità. Le prime tre interessano il modulo Framework (che funge da strato intermedio tra il sistema operativo e il software che lo utilizza) e la più grave potrebbe consentire a un attaccante remoto che utilizza un file immagine in formato PNG appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-1986 (Critica, per la versione 9 di Android)
- CVE-2019-1987 (Critica, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-1988 (Critica, per le versioni 8.0, 8.1, 9 di Android)
Le altre vulnerabilità interessano, invece, il modulo Library e la più grave potrebbe consentire a un attaccante remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo non privilegiato:
- CVE-2017-17760 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-5268 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-5269 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2017-18009 (Moderata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
Infine, le ultime otto patch del primo pacchetto di aggiornamenti interessano il modulo System e la più grave potrebbe consentire ad un aggressore remoto che utilizza una modalità di trasmissione dati appositamente creata di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-1991 (Critica, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-1992 (Critica, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-1993 (Elevata, per le versioni 8.0, 8.1, 9 di Android)
- CVE-2019-1994 (Elevata, per le versioni 8.0, 8.1, 9 di Android)
- CVE-2019-1995 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-1996 (Elevata, per le versioni 8.0, 8.1, 9 di Android)
- CVE-2019-1997 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-1998 (Elevata, per le versioni 9 di Android)
Aggiornamenti Android: i dettagli del secondo security patch level
Ecco invece i dettagli per ciascuna delle vulnerabilità di sicurezza che si applicano al secondo pacchetto di aggiornamenti, identificato come 2019-02-05 security patch level.
Le prime quattro vulnerabilità interessano il modulo Kernel e la più grave di queste potrebbe consentire ad un’applicazione dannosa installata sul dispositivo di eseguire codice arbitrario nell’ambito di un processo privilegiato:
- CVE-2018-10879 (Elevata, interessa il componente ext4 filesystem)
- CVE-2019-1999 (Elevata, interessa il componente Blinder driver)
- CVE-2019-2000 (Elevata, interessa il componente Blinder driver)
- CVE-2019-2001(Elevata, interessa il componente iomem)
Altre quattro vulnerabilità sono state individuate nel modulo NVIDIA components e la più grave potrebbe consentire a un attaccante remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2018-6271 (Critica, interessa il componente libnvomx)
- CVE-2018-6267 (Elevata, interessa il componente libnvomx)
- CVE-2018-6268 (Elevata, interessa il componente libnvomx)
- CVE-2016-6684 (Elevata, interessa il componente kernel log)
Sono state poi individuate vulnerabilità multiple nei Qualcomm components:
- CVE-2018-11262 (Critica, interessa il componente bootloader)
- CVE-2018-11280 (Critica, interessa il componente Modem)
- CVE-2018-11275 (Critica, interessa il componente Bootloader)
- CVE-2018-13900 (Critica, interessa il componente Modem)
- CVE-2018-13905 (Critica, interessa il componente Graphics)
Infine, ecco le vulnerabilità individuate nel modulo Qualcomm closed-source components che interessano tutte componenti closed-source del sistema operativo:
- CVE-2018-11289 (Critica, interessa un componente closed-source)
- CVE-2018-11820 (Critica, interessa un componente closed-source)
- CVE-2018-11938 (Critica, interessa un componente closed-source)
- CVE-2018-11945 (Critica, interessa un componente closed-source)
- CVE-2018-11268 (Elevata, interessa un componente closed-source)
- CVE-2018-11845 (Elevata, interessa un componente closed-source)
- CVE-2018-11864 (Elevata, interessa un componente closed-source)
- CVE-2018-11921 (Elevata, interessa un componente closed-source)
- CVE-2018-11931 (Elevata, interessa un componente closed-source)
- CVE-2018-11932 (Elevata, interessa un componente closed-source)
- CVE-2018-11935 (Elevata, interessa un componente closed-source)
- CVE-2018-11948 (Elevata, interessa un componente closed-source)
- CVE-2018-5839 (Elevata, interessa un componente closed-source)
- CVE-2018-13904 (Elevata, interessa un componente closed-source)
