L’aggiornamento di questo mese presenta sei vulnerabilità critiche in Mediaserver, un componente Android che gestisce l’elaborazione di file immagine e video. Questo componente è stato una fonte di molti difetti negli ultimi anni, essendo una presenza regolare nei bollettini mensili di sicurezza Android.
I difetti del Mediaserver possono essere sfruttati ingannando gli utenti a scaricare i file multimediali appositamente creati sui propri dispositivi oppure condividendo tali file tramite posta elettronica o un’altra applicazione di messaggistica. Non è nemmeno necessario che l’utente apra il file perché la sua semplice presenza sul file system porterà Mediaserver a elaborarlo.
Sfruttando tali difetti, gli aggressori possono ottenere l’esecuzione di codice in modalità remota nel contesto del processo Mediaserver, che dispone di privilegi speciali rispetto alle applicazioni regolari. Su alcuni dispositivi può persino portare a una totale compromissione di tutti i dati.
Le vulnerabilità di Mediaserver possono essere teoricamente sfruttate tramite messaggi multimediali (MMS), motivo per cui Google ha disabilitato la visualizzazione automatica di tali messaggi nell’applicazione di messaggistica di testo Android e Google Hangouts. Tuttavia, le applicazioni di terze parti potrebbero ancora essere esposte a questo vettore di attacco.
Oltre alle patch per i sei difetti critici, l’aggiornamento 2017-05-01 include anche correzioni per otto vulnerabilità ad alto rischio, cinque problemi di grave entità e un problema di gravità ridotta. Alcune di queste vulnerabilità si trovano anche nel componente Mediaserver.
Un’altra vulnerabilità interessante nell’implementazione di crittografia basata su file Android potrebbe avere consentito ad un aggressore di ignorare la schermata di blocco. Se lasciato senza patch, questo difetto a rischio moderato può consentire a eventuali malintenzionati di accedere fisicamente a un dispositivo protetto per estrarre i dati da esso.
La patch di protezione 2017-05-05 contiene anche una correzione per un bug di controllo da remoto correlato all’elaborazione dei media. La vulnerabilità si trova in GIFLIB, una libreria utilizzata dal sistema operativo per la lettura e la scrittura di immagini in formato GIF.
Il difetto di GIFLIB è valutato come critico, ma la sua inclusione nel secondo livello di patch suggerisce che potrebbe non influire su tutti i dispositivi.
