Estate bucata per Android

Continuano i problemi di sicurezza per Android: ad offrire unva vulnerabilità sfruttabile da parte dei malintenzionati è, ancora, una delle componenti responsabili della gestione dei file multimediali, stavolta Android Mediaserver.

Si tratta solo dell’ultima emergenza di questa calda estate, che segue di pochi giorni le critiche per l’inefficacia della patch distribuita per tappare la falla Stagefright, l’ exploit individuato lo scorso luglio e che ha mostrato come sia possibile, con il semplice invio di un MMS o di un contenuto multimediale veicolato da qualsiasi servizio di messaggistica o da un link, attaccare sistemi Android sfruttando sei diverse falle presenti nella componente responsabile della gestione di diversi formati di file multimediali.

A seguito della sua scoperta le aziende che montano sui propri dispositivi Android sono corse ai ripari rilasciando tempestivamente aggiornamenti e toppe per risolvere il problema, ma le stesse modalità di distribuzione di patch ed update sono state messe in discussione, in particolare per gli ostacoli derivanti dall’eccessiva frammentazione dell’ecosistema Android.

D’altra parte si scopre adesso che Stagefright non è l’unica emergenza che il SO mobile di Google ha dovuto affrontare: da ultimo

è stata individuata dai ricercatori di Trend Micro una falla in Android Mediaserver ed in particolare nella componente AudioEffect .

Il Bug CVE-2015-3842 sarebbe presente dalla versione 2.3 alla 5.1.1 di Android , quindi minaccerebbe i suoi utenti fin dal 2012 e sarebbero ancora centinaia di migliaia i device potenzialmente a rischio, anche se nessun attacco è stato per il momento documentato .

Tale vulnerabilità – già segnalata dai ricercatori Trend Micro all’Android Security Team che ha pubblicato una patch lo scorso primo agosto attraverso Android Open Source Project – può essere sfruttata convincendo gli utenti ad installare una app che non richiede particolari permessi, ma attraverso cui i cracker possono far girare il proprio codice sui dispositivi infettati.

Claudio Tamburrino