Il nuovo Android Security Bulletin relativo al mese di gennaio 2019 contiene dettagli su 27 vulnerabilità di sicurezza che interessano i dispositivi mobile sui quali è installato il sistema operativo di Google.
In particolare, i nuovi aggiornamenti di sicurezza Android sono suddivisi in due livelli di patch progressivi e consentono di risolve due vulnerabilità critiche e 25 di gravità elevata.
Le più gravi di queste vulnerabilità potrebbero consentire ad un criminal hacker di eseguire codice da remoto con privilegi elevati sul dispositivo.
Indice degli argomenti
Come aggiornare il proprio dispositivo Android
Al momento, le vulnerabilità appena individuate non dovrebbero essere state sfruttate attivamente in attacchi reali. È comunque opportuno procedere il prima possibile all’aggiornamento del proprio dispositivo mobile.
Come al solito, tutte le patch di sicurezza Android sono già state rese disponibili da Google ai partner almeno un mese prima della pubblicazione del bollettino di sicurezza e sono state rilasciate nel repository Android Open Source Project (AOSP). Gli utenti dei dispositivi Android devono quindi attendere il rilascio degli aggiornamenti da parte dei rispettivi produttori o operatori di telefonia mobile.
Aggiornamenti Android: i dettagli del primo security patch level
Con il primo pacchetto di patch, identificato come 2019-01-01 security patch level, vengono corrette le seguenti tredici vulnerabilità. La prima, che interessa il modulo Framework (che funge da strato intermedio tra il sistema operativo e il software che lo utilizza) potrebbe consentire ad un’applicazione malevola di aggirare i controlli di interazione dell’utente per ottenere l’accesso ad ulteriori permessi:
- CVE-2018-9582 (Elevata, per le versioni 8.0, 8.1, 9 di Android)
Le altre vulnerabilità interessano, invece, il modulo System e la più grave potrebbe consentire a un attaccante remoto di eseguire codice arbitrario nel contesto di un processo di sistema con privilegi elevati:
- CVE-2018-9583 (Critica, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9584 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9585 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9586 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9587 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9588 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9589 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9590 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9591 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9592 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9593 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2018-9594 (Elevata, per le versioni 7.0, 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
Aggiornamenti Android: i dettagli del secondo security patch level
Il secondo pacchetto di patch, identificato come 2019-01-05 security patch level corregge 7 vulnerabilità nel modulo Kernel e la più grave potrebbe consentire ad un’applicazione dannosa appositamente sviluppata dai criminal hacker di eseguire codice arbitrario all’interno di un processo privilegiato:
- CVE-2018-10876 (Elevata, interessa il componente ext4 filesystem)
- CVE-2018-10880 (Elevata, interessa il componente ext4 filesystem)
- CVE-2018-10882 (Elevata, interessa il componente ext4 filesystem)
- CVE-2018-13405 (Elevata, interessa il componente Filesystem)
- CVE-2018-18281 (Elevata, interessa il componente TLB)
- CVE-2018-17182 (Elevata, interessa il componente Memory Manager)
- CVE-2018-10877 (Elevata, interessa il componente ext4 filesystem)
Nello stesso pacchetto di patch sono presenti anche un aggiornamento che corregge una vulnerabilità nel modulo NVIDIA components che potrebbe consentire ad un’applicazione dannosa di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2018-6241 (Elevata, interessa il componente Dragon BSP)
tre aggiornamenti per il modulo Qualcomm components:
- CVE-2018-11962 (Elevata, interessa il componente Audio)
- CVE-2018-12014 (Elevata, interessa il componente Data HLOS – LNX)
- CVE-2018-13889 (Elevata, interessa il componente GPS)
e altri tre per il modulo Qualcomm closed-source components e che interessano tutte componenti closed-source del sistema operativo, con un grado di pericolosità elevato:
