Una falla di Android consente alle app dannose di rubare dati dalle app legittime

2 Settembre 2020 - Tempo di lettura: 7 minuti

Lo specialista della sicurezza delle applicazioni Sergey Toshin ha rivelato la scoperta di una vulnerabilità critica che colpisce un'ampia varietà di dispositivi del sistema operativo Android. Secondo il rapporto, la falla consentirebbe l'utilizzo di app dannose per estrarre informazioni sensibili da applicazioni legittime installate su dispositivi esposti.

Alcuni dettagli della ricerca di Toshin sono stati pubblicati sul sito web specializzato TedCrunch .

Rilevata come CVE-2020-8913, si tratta di una vulnerabilità legata all'esecuzione di codice arbitrario nelle versioni della libreria Android Play Core precedenti alla 1.7.2. Gli autori di minacce potrebbero creare applicazioni dannose per eseguire l'attraversamento di directory, l'esecuzione di codice in applicazioni legittime e l'accesso ai dati da altre aree del sistema.

Sono stati rilevati due potenziali scenari dannosi dalla vulnerabilità segnalata:

• Limitazione errata di un nome di percorso a una directory limitata
• Permesso inadeguato

Poiché il difetto risiede in una libreria del sistema operativo, qualsiasi applicazione legittima che dipende dai componenti compromessi sarebbe interessata, ha affermato il ricercatore. Nella sua prova di concetto, Toshin sottolinea di essere stato in grado di creare un'applicazione in grado di estrarre alcuni dettagli con successo, tra cui la cronologia di navigazione, i cookie di accesso, le password, tra gli altri dati. 

L'errore ha ricevuto un punteggio di 8,8 secondo il Common Vulnerability Scoring System (CVSS) , quindi è considerato un rischio per la sicurezza elevato. L'esperto aggiunge che alcune app molto popolari potrebbero essere state colpite senza che nessuno se ne accorgesse. Dopo aver ricevuto il rapporto, Google ha riconosciuto il difetto e ha chiesto una soluzione. L'aggiornamento è stato rilasciato a marzo 2020 con il rilascio di Play Core Library versione 1.7.2.

L'esperto afferma che il rischio di sfruttamento è elevato, quindi si consiglia agli utenti del sistema operativo di installare tutti gli aggiornamenti rilasciati da Play Core. Maggiori dettagli sono disponibili sul sito ufficiale degli sviluppatori Android.