Nel febbraio 2025, Google ha reso pubblico un bollettino di sicurezza relativo ai dispositivi Android, evidenziando una vulnerabilità critica nota come CVE-2024-53104. Questa problematica, che riguarda principalmente il sottosistema UVC , è già stata sfruttata da criminali informatici, mettendo a serio rischio i dispositivi che non riceveranno gli aggiornamenti necessari. La mancanza di patch di sicurezza continua a rappresentare un problema significativo, specialmente per i terminali che hanno superato la soglia del supporto ufficiale.
Dettagli sulla vulnerabilità CVE-2024-53104
La vulnerabilità CVE-2024-53104 è una falla di sicurezza considerata grave, poiché è connessa a un difetto a basso livello nel kernel di Android riguardante il sottosistema UVC. Questo componente è responsabile della gestione delle videocamere USB e stabilisce parametri specifici per la trasmissione di video e audio attraverso le connessioni USB. La progettazione di UVC mira a semplificare le funzionalità hardware per la cattura di video.
Secondo le informazioni fornite dai tecnici di Google, un attaccante locale potrebbe ottenere privilegi elevati sfruttando questa vulnerabilità. L'attacco si basa su un bug nella funzione che gestisce i dati relativi ai formati video UVC. Questo errore provoca un calcolo errato della dimensione del buffer dedicato ai frame video, portando a una condizione di scrittura out-of-bounds. Ciò significa che il sistema potrebbe scrivere dati in aree di memoria non correttamente allocate, con il rischio di esecuzione di codice arbitrario.
Il rischio principale associato a questa vulnerabilità è la possibilità per un attaccante di eseguire codice malevolo con privilegi elevati. Questo potrebbe consentire il pieno controllo del dispositivo compromesso, facilitando l'installazione di malware persistente che ne altera il funzionamento e la sicurezza.
Dispositivi a rischio e aggiornamenti correttivi
Google ha informato che i possessori di dispositivi Google Pixel riceveranno immediatamente le patch correttive per affrontare questa vulnerabilità. Tuttavia, i possessori di smartphone di altri marchi potrebbero dover attendere. I produttori, infatti, sono responsabili della distribuzione degli aggiornamenti e devono effettuare test specifici per garantire la compatibilità con le proprie configurazioni.
Pertanto, coloro che utilizzano Android tramite dispositivi non Google potrebbero non essere protetti dai rischi derivanti da CVE-2024-53104, anche se eventi di attacco potenzialmente pericolosi già si stanno registrando. È fondamentale prestare attenzione agli aggiornamenti rilasciati dal proprio produttore e monitorare il comportamento dei software installati, poiché la mancanza della patch potrebbe consentire l'infiltrazione di applicazioni malevole.
Per chi ha dispositivi datati, l’installazione di una ROM Android personalizzata rappresenta un'opzione valida per garantire l'ottenimento di aggiornamenti di sicurezza recenti, se il dispositivo originale non è più supportato.
Versioni di Android soggette alla vulnerabilità
Nel bollettino di sicurezza di febbraio 2025, Google ha specificato che tutte le versioni di Android dalla 12 in avanti presentano vulnerabilità connesse alla falla CVE-2024-53104. Versioni precedenti, come Android 11 e quelle più datate, non riceveranno aggiornamenti da parte di Google; quindi, i dispositivi equipaggiati con installazioni obsolete sono altrettanto suscettibili.
Gli utenti di dispositivi più anziani devono essere consapevoli dei rischi legati all'assenza di aggiornamenti di sicurezza e della vulnerabilità presente nel sistema operativo, che può potenzialmente aprire la strada a sfruttamenti malevoli.