L’Android Security Bulletin di luglio 2020 contiene i dettagli delle vulnerabilità di sicurezza che riguardano i dispositivi Android: in particolare, con il nuovo pacchetto di aggiornamenti, Google ha rilasciato le patch per 24 problemi di sicurezza, di cui 7 identificati con un indice di gravità critico e gli altri 17 classificati con un indice di gravità elevato.
Le vulnerabilità più gravi (CVE-2020-9589, CVE-2020-0224 e CVE-2020-0225) corrette con gli aggiornamenti del nuovo Android Security Bulletin, tutte di tipo RCE (Remote Code Execution), sono state individuate nelle versioni 8, 9 e 10 del sistema operativo e potrebbero consentire ad un attaccante remoto di eseguire codice arbitrario nel contesto di un processo privilegiato. Per sfruttare le vulnerabilità, un aggressore deve utilizzare un file appositamente creato e inviato sul dispositivo target.
Queste vulnerabilità potrebbero quindi essere sfruttate attraverso diversi metodi come la posta elettronica o la navigazione sul web.
A seconda dei privilegi associati all’applicazione, un aggressore può quindi installare programmi, visualizzare, modificare o cancellare dati o creare nuovi account con tutti i diritti dell’utente.
Al solito, gli aggiornamenti del bollettino di sicurezza Android sono stati suddivisi in due livelli di patch progressivi identificati come 2020-07-01 security patch level e 2020-07-05 security patch level.
Indice degli argomenti
Ecco come aggiornare i dispositivi Android
Come al solito, Google ha già rilasciato tutte le patch di sicurezza Android ai propri partner con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza, pubblicandole nel repository Android Open Source Project (AOSP).
Per fortuna, non si hanno notizie di eventuali sfruttamenti delle nuove vulnerabilità in attacchi reali. Ciò non toglie che tutti gli aggiornamenti dovrebbero essere installati il prima possibile: alcuni o tutti, a seconda del dispositivo, possono essere applicati automaticamente tramite i servizi Google Play; altri, invece, potrebbero essere inviati all’utente sotto forma di un aggiornamento da parte dell’operatore o del produttore del dispositivo, e alcuni potrebbero non essere necessari.
I dispositivi Android più economici e meno aggiornati potrebbero non vedere mai gli aggiornamenti.
In tutti i casi, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Aggiornamenti Android: i dettagli del primo security patch level
Con il primo pacchetto di patch, identificato come 2020-07-01 security patch level, sono state corrette le seguenti 7 vulnerabilità, raggruppate in base al componente di sistema che influenzano.
Le prime due vulnerabilità interessano il modulo Framework che funge da strato intermedio tra il sistema operativo e il software che lo utilizza: entrambe sono di tipo EoP (Elevation of Privilege). La più grave delle due potrebbe consentire ad un’applicazione locale malevola di aggirare i requisiti di interazione con l’utente per ottenere l’accesso ad ulteriori permessi:
- CVE-2020-0122 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2020-0227 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
Altre due vulnerabilità interessano il modulo Media framework, la prima è di tipo RCE, la seconda di tipo EoP. In questo caso, la vulnerabilità più grave di questa sezione potrebbe consentire a un aggressore remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2020-9589 (Critica, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2020-0226 (Elevata, per la versione 10 di Android)
Infine, altre tre vulnerabilità interessano il modulo System: le prime due sono tipo RCE (Remote Code Execution), la terza è di tipo ID (Information Disclosure). La vulnerabilità più grave di questa sezione potrebbe consentire a un aggressore remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2020-0224 (Critica, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2020-0225 (Critica, per la versione 10 di Android)
- CVE-2020-0107 (Elevata, per la versione 10 di Android)
Aggiornamenti Android: i dettagli del secondo security patch level
Le patch di sicurezza contenute nel secondo pacchetto di aggiornamenti, identificato come 2020-07-05 security patch level, dovrebbero essere applicate a seconda dell’hardware e del sistema operativo installati sul dispositivo. Ecco i dettagli.
Due vulnerabilità di tipo RCE (Remote Code Execution) sono state individuate nel modulo Broadcom components e la più grave potrebbe consentire ad un aggressore remoto che utilizza un messaggio appositamente elaborato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-9501 (Critica, interessa il componente Broadcom Firmware)
- CVE-2019-9502 (Critica, interessa il componente Broadcom Firmware)
Altre tre vulnerabilità sono state individuate nel modulo Kernel components, tutte e tre di tipo EoP (Elevation of Privilege) e potrebbero consentire a un aggressore locale di aggirare i requisiti di interazione con l’utente per ottenere l’accesso ad ulteriori permessi:
- CVE-2018-20669 (Elevata, interessa il componente i915 driver)
- CVE-2019-18282 (Elevata, interessa il componente Linux Networking Stack)
- CVE-2019-20636 (Elevata, interessa il componente Input driver)
Altre tre vulnerabilità (le prime due di tipo EoP e la terza di tipo ID) sono state individuate nel modulo MediaTek components:
- CVE-2020-0230 (Elevata, interessa il componente vcu)
- CVE-2020-0231 (Elevata, interessa il componente External Memory Interface)
- CVE-2020-0228 (Elevata, interessa il componente Recorder related service)
Altre quattro vulnerabilità sono state individuate nel modulo Qualcomm components. I dettagli sono elencati nei rispettivi bollettini di sicurezza rilasciati da Qualcomm:
- CVE-2020-3698 (Critica, interessa il componente WLAN)
- CVE-2020-3699 (Critica, interessa il componente WLAN)
- CVE-2019-10580 (Elevata, interessa il componente Kernel)
- CVE-2020-3700 (Elevata, interessa il componente WLAN)
Infine, le ultime cinque vulnerabilità sono state identificate nel modulo Qualcomm closed-source components che interessano tutte componenti closed-source del sistema operativo. Anche in questo caso, i dettagli sono elencati nei rispettivi bollettini di sicurezza rilasciati da Qualcomm:
- CVE-2019-14123 (Elevata, interessa un componente closed-source)
- CVE-2019-14124 (Elevata, interessa un componente closed-source)
- CVE-2019-14130 (Elevata, interessa un componente closed-source)
- CVE-2020-3688 (Elevata, interessa un componente closed-source)
- CVE-2020-3701 (Elevata, interessa un componente closed-source)
Ulteriori dettagli sugli aggiornamenti di sicurezza Android di giugno sono disponibili sulla pagina ufficiale.
