Un team di ricercatori provenienti dall’Indiana University, con la collaborazione di Microsoft, ha annunciato una grossa falla di sicurezza nel processo di aggiornamento di Android che comprometterebbe più di un miliardo di dispositivi! Cerchiamo di capire meglio quali sono i problemi e come attaccano i nostri dispositivi.Gli aggiornamenti Android rimuovono o sostituiscono migliaia di file all’interno dello storage e ogni file, ha attributi e privilegi specifici. Mentre un nuovo aggiornamento viene installato, un bug che i ricercatori chiamano “Pileup” consente ad applicazioni maligne di “infettare” tale software, affinché posa sostituire file di aggiornamento già presenti nel file system e con tutte le autorizzazioni “in regola”. Quindi, quando un’app viene aggiornata, i vecchi file system vengono uniti e, di conseguenza, i rischi di sicurezza vengono tramandati.
A quanto pare, gli attuali sistemi di sicurezza di Android non rilevano l’attività dei file infetti e l’utente finale non ha quindi mezzi per monitorare nulla.
Tutto questo permetterebbe ai malintenzionati di sfruttare la vulnerabilità concessa da Pileup per inserire codice JavaScript malevolo che potrebbe concedere loro il controllo dei dati utente.
Il team ha scoperto sei catene di vulnerabilità all’interno del pacchetto di Service Management Android e confermano la loro presenza in tutte le versioni di Android inserite nel progetto Open Source, tra cui più di 3500 ROM personalizzate per i fornitori, stimando quindi oltre un miliardo di dispositivi Android potenzialmente vulnerabili.
Mentre siamo in attesa di una risposta da parte di Google sulla questione, sappiamo che è già stata informata del problema e ha tappato una delle sei vulnerabilità.
Forse i nostri dati sono già nelle mani di chissà chi… Brutta perdita per Google e soprattutto brutta perdita per noi utenti.
