Come ogni inizio mese, Google ha rilasciato l’Android Security Bulletin relativo al mese di novembre 2019 contenente gli aggiornamenti di sicurezza Android per 38 vulnerabilità individuate in diverse componenti del sistema operativo di Google.
Dall’analisi del bollettino di sicurezza si evince che le patch correggono 8 vulnerabilità classificate come critiche e 29 classificate con un indice di gravità elevato.
Le più gravi delle vulnerabilità corrette con gli aggiornamenti del nuovo Android Security Bulletin potrebbero consentire ad un criminal hacker di eseguire codice arbitrario con privilegi elevati sul dispositivo target.
Come di consueto, gli aggiornamenti di sicurezza Android sono stati suddivisi in due livelli di patch progressivi identificati come 2019-11-01 security patch level e 2019-11-05 security patch level.
Indice degli argomenti
Ecco come aggiornare i dispositivi Android
Google ha già rilasciato tutte le patch di sicurezza Android ai propri partner con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza, pubblicandole nel repository Android Open Source Project (AOSP).
Per fortuna, non si hanno notizie di eventuali sfruttamenti delle nuove vulnerabilità in attacchi reali. Ciò non toglie che tutti gli aggiornamenti dovrebbero essere installati il prima possibile: alcuni o tutti, a seconda del dispositivo, possono essere applicati automaticamente tramite i servizi Google Play; altri, invece, potrebbero essere inviati all’utente sotto forma di un aggiornamento da parte dell’operatore o del produttore del dispositivo, e alcuni potrebbero non essere necessari.
I dispositivi Android più economici e meno aggiornati potrebbero non vedere mai gli aggiornamenti.
In tutti i casi, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Aggiornamenti Android: i dettagli del primo security patch level
Con il primo pacchetto degli aggiornamenti di sicurezza Android, identificato come 2019-11-01 security patch level, vengono corrette le seguenti 17 vulnerabilità, raggruppate in base al componente di sistema che influenzano.
Le prime 6 vulnerabilità interessano il modulo Framework (che funge da strato intermedio tra il sistema operativo e il software che lo utilizza): le prime quattro sono di tipo EoP, Elevation of Privilege, mentre le altre due sono di tipo Information disclosure. La più grave di queste vulnerabilità potrebbe consentire a un’applicazione dannosa locale di aggirare i requisiti di interazione utente per ottenere l’accesso a ulteriori autorizzazioni:
- CVE-2019-2192 (Elevata, per le versioni 9 e 10 di Android)
- CVE-2019-2193 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2195 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2199 (Elevata, per la versione 10 di Android)
- CVE-2019-2211 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2197 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
Un’altra vulnerabilità di tipo RCE (Remote Code Execution) interessa, invece, il modulo Library e potrebbe consentire ad un attaccante remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo non privilegiato:
- CVE-2019-2201 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
Altri due aggiornamenti riguardano altrettante vulnerabilità, entrambe di tipo EoP (Elevation of Privilege), individuate nel modulo Media Framework. La vulnerabilità più grave di questa sezione potrebbe consentire a un’applicazione dannosa locale di aggirare i requisiti di interazione utente per ottenere l’accesso a ulteriori autorizzazioni:
- CVE-2019-2202 (Elevata, per le versioni 9 e 10 di Android)
- CVE-2019-2203 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
Infine, in questo primo pacchetto di patch sono presenti gli aggiornamenti per altre 8 vulnerabilità individuate nel modulo System. Le prime tre, critiche, sono di tipo RCE (Remote Code Execution), le altre due sono di tipo EoP (Elevation of Privilege) e infine le ultime tre sono di tipo ID (Information Disclosure). La più grave potrebbe consentire a un attaccante remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-2204 (Critica, per la versione 9 di Android)
- CVE-2019-2205 (Critica, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2206 (Critica, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2233 (Elevata, per la versione 10 di Android)
- CVE-2019-2207 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2212 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2208 (Elevata, per la versione 9 di Android)
- CVE-2019-2209 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
Aggiornamenti Android: i dettagli del secondo security patch level
Come di consueto, gli aggiornamenti di sicurezza Android contenuti nel secondo pacchetto, identificato come 2019-11-05 security patch level, dovrebbero essere applicati a seconda dell’hardware e del sistema operativo installati sul dispositivo ad eccezione di quelli relativi alle vulnerabilità individuate nei moduli Framework, System e Kernel Components che invece devono essere installati da tutti. Ecco i dettagli.
Le prime due vulnerabilità, di tipo ID (Information Disclosure), sono state individuate nel modulo Framework. La vulnerabilità più grave di questa sezione potrebbe consentire ad un’applicazione dannosa locale di bypassare le protezioni del sistema operativo che isolano i dati dell’applicazione da altre applicazioni:
- CVE-2019-2196 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
- CVE-2019-2198 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
Un’altra vulnerabilità, di tipo EoP (Elevation of Privilege), è stata individuata nel modulo System e potrebbe consentire a un attaccante remoto che utilizza una trasmissione dati appositamente creata di ottenere accesso a permessi aggiuntivi:
- CVE-2019-2036 (Elevata, per le versioni 8.0, 8.1, 9, 10 di Android)
Altre quattro vulnerabilità, tre di tipo EoP e una di tipo ID, sono state individuate nel modulo Kernel Components. La più grave di questa sezione potrebbe consentire a un aggressore locale di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-2213 (Elevata, interessa il componente binder driver)
- CVE-2019-2214 (Elevata, interessa il componente binder driver)
- CVE-2019-2215 (Elevata, interessa il componente binder driver)
- CVE-2019-11833 (Moderata, interessa il componente ext4 filesystem)
Altre tre vulnerabilità sono state individuate nel modulo Qualcomm components. I dettagli sono elencati nei rispettivi bollettini di sicurezza rilasciati da Qualcomm:
- CVE-2019-2310 (Elevata, interessa il componente Wi-Fi)
- CVE-2019-10545 (Elevata, interessa il componente Graphics driver)
- CVE-2019-10571 (Elevata, interessa il componente Graphics driver)
Infine, ecco le ultime 11 vulnerabilità identificate nel modulo Qualcomm closed-source components che interessano tutte componenti closed-source del sistema operativo. Anche in questo caso, i dettagli sono elencati nei rispettivi bollettini di sicurezza rilasciati da Qualcomm:
- CVE-2019-10493 (Critica, interessa un componente closed-source)
- CVE-2019-10511 (Critica, interessa un componente closed-source)
- CVE-2019-2288 (Critica, interessa un componente closed-source)
- CVE-2019-2320 (Critica, interessa un componente closed-source)
- CVE-2019-2321 (Critica, interessa un componente closed-source)
- CVE-2019-10484 (Elevata, interessa un componente closed-source)
- CVE-2019-10485 (Elevata, interessa un componente closed-source)
- CVE-2019-2319 (Elevata, interessa un componente closed-source)
- CVE-2019-2337 (Elevata, interessa un componente closed-source)
- CVE-2019-2338 (Elevata, interessa un componente closed-source)
- CVE-2019-10559 (Elevata, interessa un componente closed-source)
