Bug nelle API Android mette a rischio smartphone con chip Qualcomm

Bug nelle API Android mette a rischio smartphone con chip Qualcomm

La vulnerabilità è stata confermata sulle versioni di Android dal 2011 fino a Lollipop, non è stata ancora sfruttata attivamente ma rappresenta un pericolo per la privacy degli utenti

di Nino Grasso pubblicata il , alle 12:21 nel canale Telefonia
AndroidQualcomm
 

Nel corso del tempo Android ha acquisito la fama di essere la piattaforma mobile meno sicura. In molti casi l'ingiusta nomea è dovuta alle libertà che lascia ad utenti e sviluppatori, in altri casi le vulnerabilità sono state trovate all'interno del codice dello stesso sistema operativo, come nel caso Stagefright, e come nell'ultimo caso portato alla luce dal Red Team di Mantian. Rivelata da FireEye, la vulnerabilità consente l'escalation dei privilegi a utenti malintenzionati.

L'exploit è possibile per via di un bug nel codice introdotto da Qualcomm ed è praticabile solo su dispositivi che dispongono dei chip della compagnia americana e che usano questa parte del codice. Le API vulnerabili sono state integrate nel 2011 all'interno del servizio di sistema network_manager e nel processo netd, e consentono all'utente "radio", l'account di sistema collegato alle funzioni di networking, di ottenere l'accesso a dati che in realtà non dovrebbero interessargli.

Fra questi SMS e cronologia delle chiamate, che hanno poco a che vedere con la gestione delle reti del dispositivo Android. Ci sono alcuni fattori che rendono più pericolosa questa vulnerabilità: le applicazioni malevole possono semplicemente utilizzare le API Android ufficiali per sfruttare il bug, elemento che comporta una notevole difficoltà aggiuntiva nelle operazioni di rilevazione del malware da parte dei software di sicurezza automatizzati.

La stessa FireEye, che ha divulgato la notizia, non ha inizialmente rilevato alcun accesso malevolo al dispositivo usando i tool proprietari. Ma da parte dell'utente è sufficiente scaricare un'applicazione apparentemente innocua che chiede i diritti d'accesso alle reti del dispositivo per diventare vittima. Non è facile inoltre determinare la portata della vulnerabilità per via della frammentazione delle varie versioni di Android.

Le API incriminate sono state rilasciate nel 2011, quando Gingerbread 2.3 era l'ultima versione del sistema operativo. Ad oggi la vulnerabilità è stata osservata su Jelly Bean (4.3), KitKat (4.4) e Lollipop (5.0), ed è naturalmente più pericolosa sui dispositivi più vecchi che non hanno integrati i più moderni sistemi di sicurezza e che difficilmente verranno aggiornati dal produttore. Qualcomm ha già rilasciato una patch di sicurezza lo scorso mese di marzo avvisando i partner, ma non tutti i modelli naturalmente la riceveranno.

La buona notizia è che il bug non è stato ancora sfruttato attivamente da utenti malintenzionati, anche se FireEye ammette che se un utente fosse vittima dell'exploit non avrebbe molte possibilità di scoprirlo.

Resta aggiornato sulle ultime offerte

Ricevi comodamente via email le segnalazioni della redazione di Hardware Upgrade sui prodotti tecnologici in offerta più interessanti per te

Quando invii il modulo, controlla la tua inbox per confermare l'iscrizione

11 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
Ginopilot06 Maggio 2016, 13:12 #1
tanto si risolve tutto con i google servicies
djfix1306 Maggio 2016, 15:16 #2
sms e chiamate? e cosa se ne fanno?
Mparlav06 Maggio 2016, 15:48 #3
Originariamente inviato da: Ginopilot
tanto si risolve tutto con i google servicies


Tu sì che hai capito [U]tutto[/U]
PhysX06 Maggio 2016, 16:36 #4
come fanno a sapere che il bug non è stato ancora sfruttato attivamente da utenti malintenzionati?

se io l'avessi scoperto per conto mio tempo fa e l'avessi usato contro qualcuno loro come farebbero a saperlo?
Ginopilot06 Maggio 2016, 17:13 #5
Originariamente inviato da: PhysX
come fanno a sapere che il bug non è stato ancora sfruttato attivamente da utenti malintenzionati?

se io l'avessi scoperto per conto mio tempo fa e l'avessi usato contro qualcuno loro come farebbero a saperlo?


La certezza assoluta non c'e'.
Zenida09 Maggio 2016, 00:34 #6
Originariamente inviato da: PhysX
come fanno a sapere che il bug non è stato ancora sfruttato attivamente da utenti malintenzionati?

se io l'avessi scoperto per conto mio tempo fa e l'avessi usato contro qualcuno loro come farebbero a saperlo?


Tirano sempre fuori questa storia quando un sistema di sicurezza viene violato (non solo in ambito android) e tutte le volte mi chiedo, in base a cosa sono certi che la vulnerabilità non sia stata sfruttata?
rockrider8109 Maggio 2016, 10:00 #7
Bella pubblicità per la Mediatek ...
PhysX09 Maggio 2016, 22:25 #8
Originariamente inviato da: Zenida
Tirano sempre fuori questa storia quando un sistema di sicurezza viene violato (non solo in ambito android) e tutte le volte mi chiedo, in base a cosa sono certi che la vulnerabilità non sia stata sfruttata?


Infatti è un'affermazione che si legge quasi sempre su notizie di questo tipo, l'ho notata molte altre volte.

Anche perche se c'è un bug che da accesso ad altre macchine chissa quanta gente che lo scopre lo usa in silenzio per farsi i propri affari prima che arrivi uno che lancia l'allarme...
Zenida09 Maggio 2016, 22:35 #9
Originariamente inviato da: PhysX
Infatti è un'affermazione che si legge quasi sempre su notizie di questo tipo, l'ho notata molte altre volte.

Anche perche se c'è un bug che da accesso ad altre macchine chissa quanta gente che lo scopre lo usa in silenzio per farsi i propri affari prima che arrivi uno che lancia l'allarme...


Il discorso sarebbe diverso per i servizi online, o che comunque lasciano una traccia.
Ma un bug che permette di violare un sistema con effetti circoscritti a quel dispositivo come fai a conteggiarlo se non analizzi tutti gli smartphone di questo mondo? Se io ne fossi stato affetto, come farebbero a saperlo e quindi a conteggiarlo?


Quando fanno certe affermazioni mi sa tanto di manovra per non generare allarmismo. Ma basta rifletterci un attimo per capire che non si può essere davvero certi di ciò
MichyPrima02 Luglio 2016, 15:19 #10
Originariamente inviato da: rockrider81
Bella pubblicità per la Mediatek ...


non ti preoccupare di mediatek che hanno avuto problemi di sicurezza ben più gravi in passato

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^