Samsung risolve una vecchia vulnerabilità su Android
Vi ricordate gli MMS? Se siete molto giovani no, visto che sono una tecnologia ormai obsoleta e soppiantata dai servizi di messaggistica istantanea che permettono di condividere file multimediali a costo zero. Suona strano, per questo, sentir parlare oggi di un bug di sicurezza relativo proprio ai messaggi MMS.
Tanto strano che, fino a poche settimane fa, tale vulnerabilità non era conosciuta da nessuno anche se risale al 2014, ben sei anni fa. L’ha scoperta Mateusz Jurczyk, un ricercatore del Project Zero di Google, ed è specifica degli smartphone Samsung: gli altri telefoni Android non ne soffrono. Samsung, come un po’ tutti, è rimasta all’oscuro di questa vulnerabilità e conseguentemente non ha potuto risolverla prima d’ora, ma una volta venuta a conoscenza ha pubblicato abbastanza in fretta un’apposita patch. Il bug di sicurezza, anche se oggi gli MMS si sono quasi estinti, andava risolto perché era abbastanza pericoloso.
Come attaccare uno smartphone Samsung con gli MMS
Mateusz Jurczyk ha scoperto che è possibile violare la sicurezza degli smartphone Samsung sfruttando il formato grafico Qmage, sviluppato dall’azienda coreana nel 2014 proprio per gestire gli MMS. Inviando una raffica di messaggi MMS contenenti immagini Qmage è possibile usare una libreria di sistema chiamata Skia per scavalcare il meccanismo di sicurezza chiamato Address space layout randomization (ASLR), implementato da Android a partire dalla versione 4.0 Ice Cream Sandwitch del 2011. La vulnerabilità è di tipo “zero-click”, non richiede cioè alcun intervento da parte dell’utente e, per questo motivo, è molto pericolosa.
Samsung ha già risolto
La patch che risolve questa vulnerabilità è stata già inserita da Samsung negli ultimi aggiornamenti di sicurezza, quelli di maggio 2020, e quindi tutti gli smartphone del produttore coreano già aggiornati non rischiano più nulla. Scaricare e installare le ultime patch, quindi, è l’unico modo per proteggersi dalla possibilità (remota, ma reale) di essere attaccati sfruttando questo bug. Nello stesso aggiornamento di maggio sono comprese, tra l’altro, anche le patch ufficiali di Google che risolvono altre 24 vulnerabilità critiche di Android e questo rende ancor più importante aggiornare il proprio smartphone Samsung prima possibile.
