Vulnerabilità critica su Android permette di sbloccare i privilegi di root: fix in arrivo

Un software che permette di sbloccare i permessi di root di uno smartphone Android, e ottenerne quindi il pieno controllo, sfrutta un'annosa vulnerabilità del kernel Linux ancora non corretta su Android. Il bug è stato infatti sistemato su Linux ad aprile 2014 ma non è stato contrassegnato come vulnerabilità fino a febbraio 2015. La community ha iniziato a contraddistinguerla con l'identificativo CVE-2015-1805 ma, nonostante ciò, il fix non è stato integrato su Android, SO mobile notoriamente basato su Linux.

È stato lo scorso 19 febbraio che un gruppo di ricercatori noto come C0RE Team ha reso presente a Google che l'exploit della vulnerabilità su Android avrebbe potuto consegnare all'utente e, soprattutto, ad un eventuale aggressore la possibilità di ottenere i privilegi di root all'interno del dispositivo. Google ha prontamente risposto alla chiamata del team di sicurezza iniziando a lavorare su una patch il cui rilascio è stato pianificato per uno dei prossimi aggiornamenti mensili.

Lo scorso 15 marzo un'altra compagnia di sicurezza informatica, Zimperium, aveva notificato a Google che la vulnerabilità era già stata attivamente sfruttata per garantire i permessi di root sui dispositivi Android. Sebbene si tratti di una funzionalità spesso richiesta dagli utenti più esigenti, "rootare" uno smartphone o un tablet si traduce parallelamente nella rimozione di alcune restrizioni di sicurezza, garantendo ad app di terze parti di avere il pieno controllo sullo stesso dispositivo.

Lo sblocco dei permessi di root è una pratica ampiamente ricercata dagli utenti cosiddetti enthusiast per avere il massimo controllo sul proprio smartphone, tuttavia al tempo stesso si tratta di una libertà sfruttabile anche da software malevoli per attecchire nel sistema operativo e colpire file di sistema estremamente sensibili. Proprio per questo Google non ammette ufficialmente la pratica e non consente la pubblicazione di app per eseguire la procedura all'interno del Google Play Store. 

"Google ha confermato l'esistenza di un'app di rooting pubblicamente disponibile che abusa di questa vulnerabilità su Nexus 5 e Nexus 6 per fornire all'utente i privilegi di root", ha scritto pubblicamente la società all'interno di una nota di sicurezza rilasciata recentemente. Sebbene il software in sé non sia contrassegnato come malevolo, c'è un grave pericolo di infezione per i dispositivi succitati. Eventuali aggressori possono infatti sfruttare il bug per diffondere malware.

Google ha già distribuito la patch per questa vulnerabilità ai produttori di dispositivi terzi e l'ha pubblicata anche su Android Open Source Project (AOSP) per le versioni 3.4, 3.10, 3.14 del kernel Android, mentre dalla versione 3.18 in poi la vulnerabilità non è presente. La compagnia ha già pianificato di includere il fix negli aggiornamenti di sicurezza per dispositivi Nexus del prossimo mese di aprile. Fino ad allora la società consiglia agli utenti di scaricare applicazioni solo su Google Play e di mantenere attiva l'impostazione Verify Apps. I dispositivi contrassegnati con un security patch level del 18 marzo 2016 o successivi sono già protetti.