c.m.g
14-01-2015, 08:39
martedì 13 gennaio 2015
Il componente WebView relativo ad Android 4.3 e release precedenti, in uso presso la maggioranza degli utenti, non verrà più aggiornato: Google cede la responsabilità agli OEM. E' polemica su una politica degli update non sempre trasparente
Roma - Non tutto il codice fallato merita di essere sistemato, nemmeno se è in uso presso larga parte degli utenti: Google non ritiene necesario muoversi in prima persona per riparare a dei bug che colpiscono le versioni antecedenti a KitKat, lasciando gli utenti di Android 4.3 e delle release precedenti, che animano circa il 60 per cento (https://developer.android.com/about/dashboards/index.html) dei terminali censiti da Mountain View, esposti a potenziali attacchi.
La questione è segnalata (https://community.rapid7.com/community/metasploit/blog/2015/01/11/google-no-longer-provides-patches-for-webview-jelly-bean-and-prior) da Tod Beardsley, ricercatore di sicurezza di Rapid7: ci sono delle falle che colpiscono WebView (https://developer.chrome.com/multidevice/webview/overview), componente di Android che permette alle app di mostrare contenuti web all'interno delle applicazioni stesse, senza reindirizzare l'utente sul browser. Con l'avvento di Android 4.4 WebView accantona WebKit per basarsi su Chromium, per poi scindersi dal sistema operativo con l'aggiornamento a Lollipop, così da garantire più tempestività e precisione negli update attraverso Google Play (https://gigaom.com/2015/01/12/google-stopped-patching-old-android-exploits-but-dont-panic/). Beardsley spiega che se per le release più recenti Google provvede alle patch e le rende pubbliche attraverso l'Android Open Source Project, per le versioni precedenti Mountain View lascerà che siano sviluppatori terzi a proporre una soluzione a favore di coloro che desiderino aggiornare (http://www.pcworld.com/article/2867784/google-criticized-for-not-attacking-security-flaw-in-older-devices.html#tk.rss_allhttp://).
La conferma (http://arstechnica.com/security/2015/01/google-wont-fix-bug-hitting-60-percent-of-android-phones/) giunge direttamente dall'Android security team: "Se la versione di WebView colpita è precedente alla 4.4 - viene spiegato al ricercatore - generalmente non sviluppiamo le patch ma informiamo i partner della questione". Spetterà poi agli OEM decidere sul da farsi (http://www.extremetech.com/mobile/197346-google-throws-nearly-a-billion-android-users-under-the-bus-refuses-to-patch-os-vulnerability). Beardsley lamenta sostanzialmente la mancanza di trasparenza da parte di Google: se la scelta di limitare il supporto alle vecchie release potrebbe essere ragionevole (http://threatpost.com/google-passes-on-older-android-patches-930-million-devices-vulnerable/110342) dal punto di vista della sicurezza e del mercato, mancherebbe (http://www.forbes.com/sites/thomasbrewster/2015/01/12/google-webview-updates-quietly-killed-for-most-androids/) da parte della Grande G una politica uniforme e chiara riguardo alla scansione temporale dell'esaurimento del supporto, oltre ad un database delle vulnerabilità ancora da risolvere (http://arstechnica.com/security/2015/01/google-wont-fix-bug-hitting-60-percent-of-android-phones/) per i sistemi operativi meno recenti. Un atteggiamento che in qualche modo stride con quello tenuto nei confronti della concorrenza: Microsoft, che opera secondo una rigida scansione tremporale (http://punto-informatico.it/4211854/PI/News/microsoft-niente-piu-anticipi-sui-patch-tuesday.aspx) per i propri update e che segue una tabella di marcia di ampio respiro per il supporto ai propri prodotti (http://punto-informatico.it/4212624/PI/News/novita-insider-windows-phone.aspx), è stata svergognata (http://punto-informatico.it/4212280/PI/News/microsoft-critica-google-disclosure-avventata.aspx) dalla Grande G per una patch in ritardo di pochi giorni sulle tempistiche concesse (http://punto-informatico.it/4098083/PI/News/google-progetto-zero-contro-bug-altrui.aspx) da Google Project Zero.
Gaia Bottà
Fonte: Punto Informatico (http://punto-informatico.it/4212730/PI/News/android-quando-falla-resta-aperta.aspx)
Il componente WebView relativo ad Android 4.3 e release precedenti, in uso presso la maggioranza degli utenti, non verrà più aggiornato: Google cede la responsabilità agli OEM. E' polemica su una politica degli update non sempre trasparente
Roma - Non tutto il codice fallato merita di essere sistemato, nemmeno se è in uso presso larga parte degli utenti: Google non ritiene necesario muoversi in prima persona per riparare a dei bug che colpiscono le versioni antecedenti a KitKat, lasciando gli utenti di Android 4.3 e delle release precedenti, che animano circa il 60 per cento (https://developer.android.com/about/dashboards/index.html) dei terminali censiti da Mountain View, esposti a potenziali attacchi.
La questione è segnalata (https://community.rapid7.com/community/metasploit/blog/2015/01/11/google-no-longer-provides-patches-for-webview-jelly-bean-and-prior) da Tod Beardsley, ricercatore di sicurezza di Rapid7: ci sono delle falle che colpiscono WebView (https://developer.chrome.com/multidevice/webview/overview), componente di Android che permette alle app di mostrare contenuti web all'interno delle applicazioni stesse, senza reindirizzare l'utente sul browser. Con l'avvento di Android 4.4 WebView accantona WebKit per basarsi su Chromium, per poi scindersi dal sistema operativo con l'aggiornamento a Lollipop, così da garantire più tempestività e precisione negli update attraverso Google Play (https://gigaom.com/2015/01/12/google-stopped-patching-old-android-exploits-but-dont-panic/). Beardsley spiega che se per le release più recenti Google provvede alle patch e le rende pubbliche attraverso l'Android Open Source Project, per le versioni precedenti Mountain View lascerà che siano sviluppatori terzi a proporre una soluzione a favore di coloro che desiderino aggiornare (http://www.pcworld.com/article/2867784/google-criticized-for-not-attacking-security-flaw-in-older-devices.html#tk.rss_allhttp://).
La conferma (http://arstechnica.com/security/2015/01/google-wont-fix-bug-hitting-60-percent-of-android-phones/) giunge direttamente dall'Android security team: "Se la versione di WebView colpita è precedente alla 4.4 - viene spiegato al ricercatore - generalmente non sviluppiamo le patch ma informiamo i partner della questione". Spetterà poi agli OEM decidere sul da farsi (http://www.extremetech.com/mobile/197346-google-throws-nearly-a-billion-android-users-under-the-bus-refuses-to-patch-os-vulnerability). Beardsley lamenta sostanzialmente la mancanza di trasparenza da parte di Google: se la scelta di limitare il supporto alle vecchie release potrebbe essere ragionevole (http://threatpost.com/google-passes-on-older-android-patches-930-million-devices-vulnerable/110342) dal punto di vista della sicurezza e del mercato, mancherebbe (http://www.forbes.com/sites/thomasbrewster/2015/01/12/google-webview-updates-quietly-killed-for-most-androids/) da parte della Grande G una politica uniforme e chiara riguardo alla scansione temporale dell'esaurimento del supporto, oltre ad un database delle vulnerabilità ancora da risolvere (http://arstechnica.com/security/2015/01/google-wont-fix-bug-hitting-60-percent-of-android-phones/) per i sistemi operativi meno recenti. Un atteggiamento che in qualche modo stride con quello tenuto nei confronti della concorrenza: Microsoft, che opera secondo una rigida scansione tremporale (http://punto-informatico.it/4211854/PI/News/microsoft-niente-piu-anticipi-sui-patch-tuesday.aspx) per i propri update e che segue una tabella di marcia di ampio respiro per il supporto ai propri prodotti (http://punto-informatico.it/4212624/PI/News/novita-insider-windows-phone.aspx), è stata svergognata (http://punto-informatico.it/4212280/PI/News/microsoft-critica-google-disclosure-avventata.aspx) dalla Grande G per una patch in ritardo di pochi giorni sulle tempistiche concesse (http://punto-informatico.it/4098083/PI/News/google-progetto-zero-contro-bug-altrui.aspx) da Google Project Zero.
Gaia Bottà
Fonte: Punto Informatico (http://punto-informatico.it/4212730/PI/News/android-quando-falla-resta-aperta.aspx)