Android, bluetooth a rischio hacker con falla BlueFrag: verifica patch

Un difetto nell'implementazione Bluetooth® sui dispositivi Android™ potrebbe consentire agli aggressori di lanciare attacchi per l'esecuzione di codice in modalità remota (RCE), senza alcuna interazione da parte dell'utente. La vulnerabilità critica, identificata come CVE-2020-0022 e rinominata "BlueFrag", era stata scoperta a novembre 2019 da ERNW, società tedesca specializzata in sicurezza, ma solamente lo scorso febbraio è stato possibile ottenere la patch di correzione. Il pericolo, tuttavia, non può considerarsi risolto, dato che non tutti gli smartphone ricevono gli update. Quindi, la possibilità di essere oggetto di un cyberattacco sul proprio dispositivo non è del tutto scongiurata.

Il problema non riguarderebbe Android 10, l'ultima versione del sistema operativo di Google, si trova invece sulle due versioni precedenti Android Oreo (8,0 e 8,1) e Android Pie (9,0), che rappresentano quasi i due terzi degli oltre 2,5 miliardi dispositivi in circolazione. Su queste versioni, i ricercatori hanno affermato che un attaccante remoto "nelle vicinanze" può eseguire silenziosamente codice arbitrario con i privilegi del demone Bluetooth, un programma che viene eseguito in background e gestisce attività specifiche in momenti predefiniti o in risposta a determinati eventi. Il difetto è particolarmente pericoloso perché non è richiesta alcuna interazione da parte dell'utente e solo gli indirizzi MAC Bluetooth dei dispositivi di destinazione devono essere noti per lanciare l'attacco, hanno spiegato i ricercatori. 

In sostanza, su questi dispositivi un malintenzionato potrebbe sfruttare la vulnerabilità per eseguire "silenziosamente" un codice, che permette di installare un malware tramite il Bluetooth, quando questo è abilitato. In tal modo, un hacker potrebbe entrare nei disposivi Android, per rubare i dati personali. La stessa CVE (Common Vulnerabilities and Exposures) influisce anche sulla versione Android più recente di Google, Android 10. Tuttavia, con questa versione, il livello di gravità è moderato e l'impatto non è un bug RCE, ma piuttosto una minaccia di negazione del servizio che potrebbe causare l'arresto anomalo del Bluetooth demone, hanno spiegato i ricercatori. Anche le versioni di Android precedenti alla 8.0 potrebbero essere interessate al problema, ma i ricercatori hanno affermato di non aver testato l'impatto. 

Hanno detto che, una volta "sicuri" che tutte le patch abbiano raggiunto gli utenti finali, pubblicheranno un rapporto tecnico sul difetto che include una descrizione dell'exploit e un codice di prova. Come scrive Sophos, sommando tutti i telefoni Android che non vengono più aggiornati si ottengono grandi numeri. Secondo la dashboard per sviluppatori di Google dello scorso maggio, quasi il 40% degli utenti Android utilizza ancora telefoni che eseguono le versioni dalla 5.0 alla 7.0, che non sono state aggiornate da uno o quattro anni. Uno su dieci esegue qualcosa di ancora più vecchio di quello, equivalente a un miliardo di dispositivi. Google ha rilasciato una patch come parte del Bollettino sulla sicurezza di Android pubblicato il 3 febbraio 2020, quindi si consiglia di controllare gli eventuali aggiornamenti installati sul proprio dispositivo.

Complessivamente, la raccolta di patch di febbraio dell'azienda per il suo sistema operativo Android includeva 25 correzioni. Per coloro che sono in possesso di un dispositivo non più supportato mediante il rilascio di aggiornamenti ci sono alcuni accorgimenti che si dovrebbero tenere presenti. Innanzi tutto, si consiglia di installare l'ultima patch di sicurezza disponibile dal 6 aprile 2020, che risolve un totale di 43 vulnerabilità in diverse componenti del sistema. Ma, nel caso in cui ciò non sia ancora possibile, si possono seguire due regole fondamentali:  abilitare il Bluetooth solo se strettamente necessario, oppure mantenere il proprio dispositivo non rilevabile. Nell'agosto dello scorso anno, un gruppo di ricercatori ha pubblicato un documento nell'ambito dell'USENIX Security Symposium 2019.

Il documento, intitolato "The KNOB is Broken: Exploiting Low Entropy in the Encryption Key Negotiation of Bluetooth BR/EDR", identifica una vulnerabilità nelle specifiche Bluetooth® Basic Rate/Enhanced Data Rate (BR/EDR). Un hacker potrebbe essere in grado di indebolire la crittografia dei dispositivi BT (non Bluetooth® Low Energy*) e, successivamente, curiosare nelle comunicazioni o inviare quelle falsificate per rilevare un dispositivo, tutto ciò a causa di un difetto scoperto nello standard del sistema. L'attacco consente a terzi, senza la conoscenza di alcun materiale segreto, di forzare una coppia o più di dispositivi Bluetooth a utilizzare una chiave di crittografia più debole con solo 1 byte. Quanto riportato assume ancora più importanza alla luce della nuova app "Immuni" per il tracciamento del contagio da Coronavirus. 

Secondo quanto spiegato, l'applicazione di "contact tracing" ovvero di tracciatura dei contatti, funzionerà attraverso la tecnologia Bluetooth® Low Energy* di smartphone e tablet, rilevando l'avvicinamento fra due dispositivi. È proprio in questo scenario che i cybercriminali potrebbero insinuarsi e alcune recenti difetti, purtroppo, ne danno conferma. A marzo, infatti, un team di ricercatori sulla sicurezza ha scoperto numerose vulnerabilità nelle implementazioni BLE dei principali fornitori. Questo gruppo di 12 problemi,  soprannominato "SweynTooth", ha un impatto su diversi dispositivi come smart home, wearable device, sistemi di localizzazione, ma anche prodotti medici e logistici. *Bluetooth Low Energy (BLE) è una tecnologia di comunicazione wireless progettata per ridurre l'utilizzo della batteria di dispositivi mobili e IoT.

Via: Threat Post