Android, risolte due vulnerabilità 0-day a novembre: rilasciato il nuovo bollettino di sicurezza

Gli aggiornamenti di sicurezza rilasciati a novembre da Google mirano a contrastare due vulnerabilità zero-day nel sistema operativo Android, già utilizzate da malintenzionati per condurre attacchi mirati. L'azienda di Mountain View ha integrato queste correzioni critiche nel consueto pacchetto mensile di novembre, che risolve complessivamente 51 problemi di sicurezza.

Le due vulnerabilità, identificate come CVE-2024-43047 e CVE-2024-43093, rappresentano minacce concrete per gli utenti Android. La prima, scoperta dai ricercatori di Amnesty International - come riportato dall'ultimo bollettino di sicurezza Android - colpisce i dispositivi con piattaforma hardware Qualcomm sfruttando un bug nel servizio legato al Digital Signal Processor (DSP). La seconda invece impatta la componente Android Framework e il sistema degli aggiornamenti di Google Play, specialmente nella Documents UI.

Google rilascia il bollettino mensile di sicurezza per Android

Le implicazioni della scoperta di Amnesty International suggeriscono un possibile collegamento con attività di spyware, sebbene Google mantenga il riserbo sui dettagli specifici degli attacchi. Tra gli altri problemi risolti, spicca CVE-2024-38408, classificato come critico e legato anch'esso ai componenti proprietari Qualcomm. Inoltre, in relazione a un'ulteriore vulnerabilità corretta, nota come CVE-2024-43091, di cui però non è stata segnalata alcuna attività da parte di utenti o gruppi malevoli, Google scrive:

"Il più grave di questi problemi è una vulnerabilità di sicurezza di criticità alta nel componente System che potrebbe portare all'esecuzione di codice in modalità remota senza che sia necessario ottenere i privilegi per farlo. La valutazione della criticità si basa sull'effetto che lo sfruttamento della vulnerabilità potrebbe avere su un dispositivo interessato, supponendo che la vulnerabilità e le mitigazioni della piattaforma e del servizio siano disattivate per scopi di sviluppo o se siano state bypassate con successo".

Per gli utenti con dispositivi che montano Android 11 o versioni precedenti non più supportate ufficialmente, si consiglia vivamente l'aggiornamento del dispositivo, anche in considerazione di tutti i dati sensibili che ormai trasportiamo sempre con noi sui nostri dispositivi mobile. L'unica eccezione riguarda gli aggiornamenti di sistema distribuiti tramite Google Play, che potrebbero ancora fornire patch per vulnerabilità critiche attivamente. Come scrive la stessa Google, "i partner Android vengono avvisati di tutti i problemi almeno un mese prima della pubblicazione. Le patch del codice sorgente per questi problemi sono state rilasciate al repository Android Open Source Project (AOSP)". Gli aggiornamenti di sicurezza dovrebbero raggiungere presto tutti i dispositivi Android supportati, e non solo i modelli della linea Pixel proprietaria.