Il nuovo Android Security Bulletin con gli aggiornamenti di sicurezza Android relativo al mese di settembre 2019 contiene dettagli su 46 vulnerabilità di sicurezza individuate in diverse componenti del sistema operativo di Google. Di queste, 4 sono state classificate come critiche e 42 di gravità elevata.
Le più gravi di queste vulnerabilità potrebbero consentire ad un criminal hacker di eseguire codice arbitrario con privilegi elevati sul dispositivo. Ciò è possibile grazie all’utilizzo di un file malevolo appositamente creato dall’attaccante.
Al solito, gli aggiornamenti del bollettino di sicurezza Android sono stati suddivisi in due livelli di patch progressivi identificati come 2019-09-01 security patch level e 2019-09-05 security patch level.
Indice degli argomenti
Ecco come aggiornare i dispositivi Android
Con un mese di anticipo rispetto alla pubblicazione del bollettino di sicurezza, Google ha già rilasciato tutte le patch di sicurezza Android ai propri partner, rilasciandole nel repository Android Open Source Project (AOSP).
Per fortuna, non si hanno notizie di eventuali sfruttamenti delle nuove vulnerabilità in attacchi reali. Ciò non toglie che tutti gli aggiornamenti dovrebbero essere installati il prima possibile: alcuni o tutti, a seconda del dispositivo, possono essere applicati automaticamente tramite i servizi Google Play; altri, invece, potrebbero essere inviati all’utente sotto forma di un aggiornamento da parte dell’operatore o del produttore del dispositivo, e alcuni potrebbero non essere necessari.
I dispositivi Android più economici e meno aggiornati potrebbero non vedere mai gli aggiornamenti.
In tutti i casi, soprattutto quando i dispositivi vengono utilizzati in ambito aziendale e produttivo, è opportuno installare una buona soluzione di sicurezza (ancora meglio se integrata nell’eventuale client di Mobile Device Management per il controllo remoto e centralizzato dei dispositivi usati per lo smart working) in grado di garantire un elevato livello di protezione dei dati e delle informazioni riservate archiviate in memoria.
Aggiornamenti Android: i dettagli del primo security patch level
Con il primo pacchetto di patch, identificato come 2019-09-01 security patch level, vengono corrette le seguenti 13 vulnerabilità, raggruppate in base al componente di sistema che influenzano.
Le prime cinque, in particolare, interessano il modulo Framework (che funge da strato intermedio tra il sistema operativo e il software che lo utilizza): quattro sono di tipo EoP, Elevation of Privilege, e classificate con una gravità elevata; una è di tipo ID (Information Disclosure) e classificata anch’essa con indice di gravità elevato.
La vulnerabilità più grave di questa sezione potrebbe consentire ad un’applicazione dannosa locale di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-2123 (Elevata, per le versioni 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-2174 (Elevata, per le versioni 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-2175 (Elevata, per le versioni 9 di Android)
- CVE-2019-9254 (Elevata, per le versioni 10 di Android)
- CVE-2019-2103 (Elevata, per le versioni 9 di Android)
Altre due vulnerabilità, entrambe classificate con un indice di gravità critico, sono di tipo RCE (Remote Code Execution) e interessano il modulo Media framework. La vulnerabilità più grave di questa sezione potrebbe consentire a un attaccante remoto che utilizza un file appositamente creato di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-2176 (Critica, per le versioni 8.0, 8.1, 9 di Android)
- CVE-2019-2108 (Critica, per le versioni 10 di Android)
Infine, altre sei vulnerabilità (una di tipo RCE, due di tipo EoP e tre di tipo ID) interessano il modulo System e la più grave di queste potrebbe consentire a un attaccante remoto che utilizza una trasmissione dati appositamente creata di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2019-2177 (Elevata, per le versioni 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-2115 (Elevata, per le versioni 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-2178 (Elevata, per le versioni 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-2179 (Elevata, per le versioni 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
- CVE-2019-2180 (Elevata, per le versioni 8.0, 8.1, 9 di Android)
- CVE-2019-2124 (Elevata, per le versioni 7.1.1, 7.1.2, 8.0, 8.1, 9 di Android)
Aggiornamenti Android: i dettagli del secondo security patch level
Come di consueto, le vulnerabilità di sicurezza contenute nel secondo pacchetto di aggiornamenti, identificato come 2019-09-05 security patch level, dovrebbero essere applicate a seconda dell’hardware e del sistema operativo installati sul dispositivo. Ecco tutti i dettagli.
Le prime due, entrambe di tipo EoP, sono state individuate nel modulo Kernel components e la più grave potrebbe consentire ad un’applicazione dannosa locale di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2018-20669 (Elevata, interessa il componente i915 driver)
- CVE-2019-2181 (Elevata, interessa il componente Binder driver)
Altre due vulnerabilità (in questo caso, una è di tipo EoP e una è di tipo ID) sono state individuate nel modulo NVIDIA components e la più grave potrebbe consentire ad un’applicazione dannosa locale di eseguire codice arbitrario nel contesto di un processo privilegiato:
- CVE-2018-6240 (Elevata, interessa il componente BootROM)
- CVE-2017-5715 (Elevata, interessa il componente ARM Trusted Firmware)
Ben sedici vulnerabilità sono state individuate, invece, nel modulo Qualcomm components. I dettagli sono elencati nei rispettivi bollettini di sicurezza rilasciati da Qualcomm:
- CVE-2017-17768 (Elevata, interessa il componente LK bootloader)
- CVE-2019-2283 (Elevata, interessa il componente Kernel)
- CVE-2019-2316 (Elevata, interessa il componente HLOS)
- CVE-2019-10491 (Elevata, interessa il componente Audio)
- CVE-2019-10505 (Elevata, interessa il componente WLAN HOST)
- CVE-2019-2323 (Elevata, interessa il componente HLOS)
- CVE-2019-2324 (Elevata, interessa il componente Audio)
- CVE-2019-2325 (Elevata, interessa il componente Audio)
- CVE-2019-2331 (Elevata, interessa il componente Audio)
- CVE-2019-2332 (Elevata, interessa il componente Audio)
- CVE-2019-10512 (Elevata, interessa il componente Audio)
- CVE-2019-10515 (Elevata, interessa il componente Kernel)
- CVE-2019-10524 (Elevata, interessa il componente Camera driver)
- CVE-2019-10529 (Elevata, interessa il componente Graphics driver)
- CVE-2019-10531 (Elevata, interessa il componente Kernel)
- CVE-2018-11891 (Elevata, interessa il componente WLAN HOST)
Infine, ecco le ultime 13 vulnerabilità identificate nel modulo Qualcomm closed-source components che interessano tutte componenti closed-source del sistema operativo. Anche in questo caso, i dettagli sono elencati nei rispettivi bollettini di sicurezza rilasciati da Qualcomm:
- CVE-2019-2258 (Critica, interessa un componente closed-source)
- CVE-2019-10533 (Critica, interessa un componente closed-source)
- CVE-2019-2275 (Elevata, interessa un componente closed-source)
- CVE-2019-2246 (Elevata, interessa un componente closed-source)
- CVE-2019-10488 (Elevata, interessa un componente closed-source)
- CVE-2019-10495 (Elevata, interessa un componente closed-source)
- CVE-2019-10496 (Elevata, interessa un componente closed-source)
- CVE-2019-2249 (Elevata, interessa un componente closed-source)
- CVE-2019-2285 (Elevata, interessa un componente closed-source)
- CVE-2019-10504 (Elevata, interessa un componente closed-source)
- CVE-2019-10522 (Elevata, interessa un componente closed-source)
- CVE-2019-10534 (Elevata, interessa un componente closed-source)
- CVE-2019-10541 (Elevata, interessa un componente closed-source)
