Google corregge due 0-day e altre 60 falle su Android: le novità dell'aggiornamento di aprile

Google ha rilasciato l'aggiornamento di sicurezza di aprile 2025 per Android, correggendo ben 62 vulnerabilità, di cui due zero-day già sfruttati in attacchi mirati. Le patch affrontano diverse problematiche di sicurezza, con la maggior parte classificate come difetti di elevazione dei privilegi ad alta gravità.

Uno dei due 0-day corretti (CVE-2024-53197) è una vulnerabilità di elevazione dei privilegi ad alta gravità nel driver USB-audio del kernel Linux per i dispositivi ALSA. Secondo quanto riportato da BleepingComputer, questa falla è stata sfruttata dalle autorità serbe per sbloccare dispositivi Android sequestrati, utilizzando una serie di exploit zero-day sviluppata dalla società israeliana di digital forensics Cellebrite. La catena di exploit comprendeva anche uno zero-day USB Video Class (CVE-2024-53104) corretto a febbraio e uno zero-day Human Interface Devices (CVE-2024-50302) patchato il mese scorso.

Corrette due vulnerabilità zero-day con gli aggiornamenti di aprile di Android

La seconda vulnerabilità zero-day corretta (CVE-2024-53150) è una falla di divulgazione delle informazioni del kernel Android causata da una falla di lettura fuori limite. Il bug consentiva ad eventuali aggressori locali di accedere a informazioni sensibili su dispositivi vulnerabili senza richiedere l'interazione dell'utente. Google ha dichiarato di essere stata a conoscenza di queste vulnerabilità e del rischio di sfruttamento prima delle segnalazioni, sviluppando prontamente correzioni per Android. Le patch sono state condivise con i partner OEM in un avviso per i partner il 18 gennaio 2025.

L'azienda ha rilasciato due serie di patch di sicurezza: i livelli di patch 2025-04-01 e 2025-04-05. Quest'ultimo fornisce tutte le correzioni del primo batch e le patch di sicurezza per i sottocomponenti di terze parti e del kernel closed-source, che potrebbero non essere necessariamente applicabili a tutti i dispositivi Android e vanno implementati dai produttori caso per caso. I dispositivi Google Pixel ricevono gli aggiornamenti immediatamente, mentre altri fornitori spesso impiegano più tempo per testare e mettere a punto le patch di sicurezza per le loro specifiche configurazioni hardware.