Bug di Linux, a rischio un miliardo e mezzo di smartphone Android

Vulnerabile l'80% di tutti gli utenti del sistema di Google.



[ZEUS News - www.zeusnews.it - 16-08-2016]

Android bug linux

A volte, la soluzione a un problema non fa altro che crearne un altro, magari persino peggiore.

Nel 2012, con l'introduzione del kernel 3.6, Linux iniziò a implementare la RFC 5961, progettata per prevenire certi tipi di attacco via Internet.

All'epoca non se ne accorse nessuno, ma il modo stesso in cui quella RFC è progettata apre le porte a un altro tipo di attacco, che al giorno d'oggi è presente in tutti i dispositivi basati su Android 4.4 KitKat e successivi, compreso il non ancora rilasciato Android 7 Nougat.

Ciò significa che 1,4 miliardi di dispositivi Android - o, altrimenti detto, circa l'80% degli utenti del sistema di Google - sono vulnerabili al nuovo attacco.

Grazie alla falla è possibile per chiunque possieda una connessione a Internet determinare se due parti - per esempio, un utente col suo smartphone e un server - stiano utilizzando una connessione TCP long-lived e, se la connessione non è crittografata, inserire nel traffico codice o contenuti arbitrari, anche pericolosi.

La particolare pericolosità di questo attacco sta nel fatto che non è necessario avere una particolare "posizione" per sfruttare la vulnerabilità (come negli attacchi man-in-the-middle): chiunque in Internet sia dotato delle adeguate conoscenze può farlo prendendo di mira qualunque vittima.

Non a caso l'exploit viene definito dagli addetti ai lavori off-path: non è necessario trovarsi "sul percorso" della connessione per interferire con essa.

Si potrebbe pensare che, per difendersi, sia sufficiente usare sempre una connessione crittografata, ma ciò è vero solo in parte: la falla permette di determinare se esista un canale e chiudere la connessione.

Tutto ciò permette di dipingere scenari pericolosi: si potrebbe per esempio inserire nei siti visitati da utenti con dispositivi Android del codice JavaScript da utilizzare per attacchi di phishing, magari facendo apparire un messaggio che indichi all'utente che è stato effettuato il logout e spingendolo così a introdurre nuovamente le sue credenziali (e in tal modo rubandole, ovviamente).

Oppure si possono sfruttare vulnerabilità non corrette nel browser o nell'app per le email o per la chat: le possibilità sono molto numerose.

Sondaggio
Quale di questi consigli ritieni più importante per una vacanza all'insegna della sicurezza?
Aggiornare il sistema operativo, i programmi installati e le applicazioni, eliminando così eventuali falle di sicurezza già scoperte.
Evitare di usare WLAN pubbliche (in hotel, Internet Café, aeroporto...): solitamente sono protette in maniera inadeguata e i dati possono essere spiati. Meglio utilizzare una connessione mobile UMTS.
Evitare di fare online banking in vacanza e non scaricare o salvare dati personali e sensibili su Pc pubblici.
Creare un indirizzo ad hoc per inviare cartoline elettroniche via email, da disattivare al rientro qualora venisse compromesso.
Impostare una password all'accensione su smartphone e tablet e un PIN per lo sblocco della tastiera.
Fare il backup del notebook o del netbook che si porta in vacanza, crittografando i dati per limitare i danni in caso di furto.

Mostra i risultati (1685 voti)
Leggi i commenti (10)

Per fortuna, portare l'attacco non è immediato: a chi voglia sfruttare la falla servono circa 10 secondi per controllare se i due estremi della connessione (l'utente Android e il server) sono connessi; poi altri 45 secondi per inserire il contenuto o il codice.

Insomma: non è un sistema che permetta di prendere di mira moltissime persone, tuttavia contro singoli bersagli precisi è estremamente efficace.

Le aziende interessate dal problema - le varie distribuzioni Linux, ma soprattutto Google per quanto riguarda Android - stanno lavorando alla preparazione e distribuzione di una patch: nel kernel, il problema è stato risolto con la versione 4.7, ma non tutti adoperano l'ultimissimo kernel, e ciò è particolarmente vero in Android, dove aggiornare il kernel generalmente non è possibile senza dover cambiare versione del sistema (operazioni non sempre consentita).

Il gigante di Mountain View ha spiegato che i suoi sviluppatori «sono al corrente della vulnerabilità e stanno intraprendendo le azioni necessarie» ma fa fatto anche notare che «la falla è all'interno delle versioni vulnerabili del kernel Linux e non è specifica di Android».

La vulnerabilità è stata classificata come «moderata» e con ogni probabilità sarà corretta in Nougat. Non è possibile sapere che cosa Google - e i vari produttori di hardware - intendano fare con le versioni precedenti.

In attesa di una correzione, usare connessioni criptate o una VPN può aiutare a ridurre l'esposizione ai rischi.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Fedora e Ubuntu, basta un file audio per violarli
Bug critico in Linux, da nove anni
Grave falla in Android, milioni di smartphone vulnerabili
Falla in Android, così si sblocca lo smartphone senza password
La falla in Android che fa cadere lo smartphone in coma
I dispositivi Android azzerati non sono davvero azzerati
Come bloccare qualunque dispositivo Android
Il bug di Android che paralizza lo smartphone

Commenti all'articolo (ultimi 5 di 15)

{Paolo Del Bene}
@ictuscano si parlare di CopyRight del website a partire dal 2004 fino al 2016. Non mi sembra pero' che ti sia difficile contattare link[/url] e chiedere a John Sullivan a quando risale la notizia. Io ho sottoposto alla tua attenzione un telefono, ma non riesco a capire come ti possa fermare solo a guardate uno schermo che è... Leggi tutto
5-11-2016 20:12

{ictuscano}
@{Paolo Del Bene} Ultimo commento, altrimenti qui stiamo a fare una discussione a due che magari non interessa nessuno. Tu scrivi: "oppure tirate fuori almeno 300.000.000 di euro e fare una factory che produca UNTRUSTED HARDWARE. Le chiacchiere stanno a zero" Ma lo dici TU A ME?? Ma è quello che IO ti ho detto nel mio commento:... Leggi tutto
18-8-2016 11:05

{ictuscano}
@{Paolo Del Bene} "Dell'MS-DOS che vai tanto sbandierando come la panacea" ma non hai compreso proprio niente del mio ragionamento, scusa sai. Io ho solo detto che a quei tempi si poteva "maneggiare in proprio un SO", adesso non è più possibile, è una questione troppo complicata, ed a... Leggi tutto
18-8-2016 10:44

{ictuscano}
@{Paolo Del Bene} Mah, cosa c'entri la storia del DOS, DR Dos ecc. ho da capirlo. Per il resto, il GTA04 sarebbe quel coso del link? Cioè una scheda che sostituisce quella precedente nell'OpenMoko? Secondo me è importante lo schermo o come funziona il SO? ma che ragionamento è? OVVIO che è importante... Leggi tutto
18-8-2016 10:41

{Paolo Del Bene}
@ictuscano GTA04 phone link[/url] AllWinners: [url=http://forum.zeusnews.com/link/331372]link[/url] Hardware [url=http://forum.zeusnews.com/link/331373]link[/url] Rms Computing: [url=http://forum.zeusnews.com/link/331374]link[/url] È una grandissima sintesi di ciò che avrei voluto scriverti e che avrebbe richiesto... Leggi tutto
18-8-2016 05:41

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Qual è il momento della giornata in cui ti senti più creativo?
Alla mattina presto
A metà mattinata
All'ora di pranzo
Nel primo pomeriggio
Nel tardo pomeriggio
All'ora di cena
Di sera
A notte fonda
In un qualsiasi momento
Non sono per niente creativo

Mostra i risultati (1969 voti)
Agosto 2019
Il cavo USB che permette di violare qualsiasi iPhone
Matteo Salvini condannato per violazione del diritto d'autore
Falla nelle fotocamere digitali, si rischia un'epidemia di malware
iPhone, cambiare la batteria diventa ancora più difficile
Datadrifter: motore di ricerca per bucket di Google Cloud trova dati privati a palate
Lo smartphone senza Android di Huawei arriverà entro la fine dell'anno
Facebook cambia nome a Instagram e WhatsApp
L'85% di tutti i Bitcoin è già stato generato
La carta di credito di Apple debutta in agosto
Luglio 2019
Windows 10, arriva il ripristino via Internet
Il condizionatore portatile di Sony da indossare sotto i vestiti
5G, miti da smontare e paure pilotate
VLC, panico nel Web per una falla estremamente grave
La criptovaluta di Facebook è una manna per gli scammer
Microsoft: Windows 10 è il migliore Windows di sempre
Tutti gli Arretrati


web metrics