In questo articolo Indice dei contenuti 2 sezioni
Una vulnerabilità Android classificata come critica consente di attaccare uno smartphone senza che il proprietario debba compiere alcuna azione. Non serve aprire un link sospetto e non serve nemmeno scaricare un’app. Basta che il dispositivo sia esposto e che giri su una delle versioni coinvolte. La falla compare nel bollettino Android di novembre, il documento con cui Google elenca le correzioni di sicurezza per il proprio sistema operativo, e tra le tante voci presenti è quella che preoccupa di più.
I numeri del bollettino danno già un’idea della portata dell’aggiornamento. Le vulnerabilità corrette sono in tutto 216 e ben 23 di queste rientrano nella fascia più grave, quella delle falle critiche. Una parte di questi problemi può essere sfruttata senza alcun intervento da parte dell’utente, ed è proprio questo l’aspetto che fa alzare le antenne. Di solito chi subisce un attacco informatico viene in qualche modo spinto a fare qualcosa, che sia toccare un collegamento o installare un programma. Qui invece quel passaggio salta del tutto. Fra le falle di questo tipo ce n’è una considerata particolarmente pericolosa, perché non riguarda un singolo modello o una singola release ma diverse versioni del sistema operativo di Google.
Quattro versioni di Android esposte allo stesso problema
La vulnerabilità è stata identificata con il codice CVE 2026 58868 e colpisce il componente Framework di Android. Le versioni interessate sono Android 14, Android 15, Android 16 e Android 17, quindi una fetta molto ampia dei dispositivi in circolazione che utilizzano le release più recenti della piattaforma.
Il rischio concreto è serio. Chi riuscisse a sfruttare la falla potrebbe ottenere l’esecuzione di codice da remoto, in gergo tecnico Remote Code Execution o semplicemente RCE. Tradotto in parole semplici significa che un malintenzionato sarebbe in grado di far girare istruzioni a sua scelta sullo smartphone della vittima, senza averlo fisicamente in mano. E tutto questo, come accennato, senza alcuna interazione dell’utente, che quindi non avrebbe nemmeno l’occasione di accorgersi di qualcosa di strano prima che sia troppo tardi.
C’è poi un altro dettaglio che rende la situazione ancora più delicata. Per portare a termine l’attacco non sarebbe necessario disporre di privilegi aggiuntivi sul dispositivo. In molti casi chi vuole colpire un telefono deve prima ottenere permessi più elevati, magari sfruttando una seconda falla in combinazione con la prima. Con questa vulnerabilità, invece, quel gradino in più non serve e la strada per l’aggressore risulta decisamente più corta.
Dove nasce la falla e perché è così insidiosa
All’origine di tutto c’è un problema nella gestione della memoria all’interno del file FrameDecoder.cpp. Il termine tecnico usato per descrivere questo tipo di difetto è heap buffer overflow, un’espressione che può sembrare complicata ma che indica un concetto piuttosto intuitivo. Ogni programma riserva determinate aree di memoria per conservare i dati su cui lavora, e ciascuna di queste aree ha confini precisi. Quando si verifica un overflow di questo tipo, il software finisce per scrivere informazioni al di fuori dello spazio che gli era stato assegnato, andando a toccare zone che non dovrebbe raggiungere.
Di per sé un errore del genere potrebbe causare semplicemente un malfunzionamento o un blocco dell’applicazione coinvolta. Il guaio è che, in alcune condizioni, questa anomalia può essere sfruttata in modo mirato da chi sa come manipolarla. Ed è proprio attraverso questo meccanismo che diventa possibile eseguire del codice non autorizzato sul dispositivo, aprendo la porta all’attacco senza interazione descritto nel bollettino Android di novembre.
Fonte: TecnoAndroid