Team italiano scopre grave bug in Android, patch nel prossimo update

Un gruppo di ricercatori italiani ha individuato una seria vulnerabilità presente in tutte le versioni di smartphone e tablet Android. Il risultato è il frutto di una collaborazione tra ricercatori che operano in diversi atenei e centri di ricerca italiani: Alessandro Armando, responsabile dell'Unità di Ricerca "Security & Trust" della Fondazione Bruno Kessler di Trento e coordinatore del Laboratorio di Intelligenza Artificiale del DIST all'Università di Genova, Alessio Merlo (Università Telematica E-Campus), Mauro Migliardi (coordinatore del gruppo Green, Energy Aware Security dell'Università di Padova) e Luca Verderame (neo-laureato in Ingegneria Informatica dell'Università di Genova).

I quattro hanno pubblicato al riguardo un documento che illustra il problema.

Il team di ricercatori ha segnalato la vulnerabilità a Google e al Security Team di Android, fornendo una dettagliata analisi dei rischi relativi. Ha quindi progettato una soluzione che è stata verificata dal Security Team di Android e che - vista l'efficacia - sarà adottata in uno dei prossimi aggiornamenti del sistema operativo. La vulnerabilità riguarda ogni versione in circolazione, ivi compresa la più recente Ice Cream Sandwich. Il bug individuato è in grado di creare un numero infinito di processi che operano ai livelli più bassi del sistema operativo, consumando memoria e cicli di processore. Un malware che sfrutta questa vulnerabilità in fase di accensione del dispositivo potrebbe rendere un device inutilizzabile.

Secondo i ricercatori il bug è da imputare ad una falla nei componenti del sistema operativo a livello Linux, quali il socket Zygote. Android controlla ad esempio che non vengano generati "processi figli" con privilegi superiori a quelli dei "padri" o che portino alla saturazione del sistema. Il framework in realtà non analizzerebbe completamente l'origine della richiesta. I processi figli generati dal malware consumerebbero così tutte le risorse disponibili e per la loro rimozione bisognerebbe andare alla shell di Android, eliminando manualmente il bad process. Dato che si tratta d'una operazione alquanto complicata, l'unica soluzione possibile per la gran parte degli utenti sarebbe quella di rivolgersi all'assistenza del produttore.

Un problema particolarmente insidioso poichè l'applicazione malevola in questione non richiederebbe alcuna autorizzazione in fase di installazione e tenderebbe quindi ad apparire innocua all'utente. Si tratta del cosiddetto Fork bomb, un attacco di tipo DDos che porta fuori fase il sistema, sovraccaricandolo di processi e utilizzando un elevato quantitativo di risorse di memoria. Al momento non tutti i dettagli sulla vulnerabilità sono stati divulgati, ma gli esperti hanno in programma di rilasciare pubblicamente sia il codice DoSCheck che la patch in un futuro molto prossimo, come conseguenza a una politica di comunicazione responsabile, in attesa che il Security Team di Android e l'Open Handset Alliance decidano un termine preciso.

Via: AGI