Google risolve 28 vulnerabilità in Android e 25 bug nei dispositivi Pixel: cosa significano per la tua sicurezza?

Questa settimana, gli ingegneri di Google hanno risolto 28 vulnerabilità in Android e 25 bug nei dispositivi Pixel, inclusi due problemi che erano già stati sfruttati. È stato riferito che le vulnerabilità 0-day di Google Pixel sono state utilizzate dalla cyber forensics per sbloccare gli smartphone senza codice PIN e ottenere l’accesso ai dati memorizzati su di essi.

Sebbene gli smartphone Pixel eseguano Android, ricevono aggiornamenti separati dalle patch mensili standard distribuite a tutti gli OEM di dispositivi Android. E se le patch di aprile per Android non contenevano patch critiche, Pixel ha immediatamente risolto due vulnerabilità 0-day: CVE-2024-29745 e CVE-2024-29748.

Il CVE-2024-29745 è descritto come un grave difetto di divulgazione di informazioni nel bootloader Pixel, mentre CVE-2024-29748 è stato scoperto nel firmware Pixel ed è correlato all’escalation dei privilegi.

Gli sviluppatori di GrapheneOS basato su Android, che si concentra sulla privacy e sulla sicurezza, hanno detto su X che questi bug vengono spesso sfruttati dalla cyber forensics. Secondo i ricercatori che  hanno scoperto queste vulnerabilità e le hanno segnalate a Google, CVE-2024-29745 e CVE-2024-29748 consentono di sbloccare la memoria dei dispositivi Google Pixel (è richiesto l’accesso fisico) e di accedere ai dati.

Ricordiamo che nel gennaio 2024 gli sviluppatori di GrapheneOS hanno avvertito dei bug riscontrati nel firmware, ma poi non ne hanno rivelato i dettagli. Ora gli esperti hanno affermato che il problema CVE-2024-29745 è associato a una vulnerabilità nel firmware fastboot utilizzato per sbloccare, flashare e bloccare i dispositivi.

“La cyberforensics sta riavviando Pixel e altri dispositivi in ​​modalità After First Unlock in modalità fastboot per sfruttare la vulnerabilità e quindi eseguire un dump della memoria”, hanno affermato i ricercatori. Google ha risolto la situazione: ora la memoria viene azzerata all’avvio in modalità fastboot e la connessione USB viene attivata solo al termine del processo di reset.

Per quanto riguarda CVE-2024-29748, questa falla consente agli aggressori locali di aggirare i ripristini di fabbrica avviati dall’applicazione utilizzando l’API di amministrazione, rendendo il ripristino di fabbrica non sicuro. Secondo gli sviluppatori di GrapheneOS, il fix offerto da Google per questa vulnerabilità è parziale e potenzialmente inefficace, in quanto è comunque possibile interrompere il ripristino spegnendo l’alimentazione del dispositivo.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks