Bug di Linux, a rischio un miliardo e mezzo di smartphone Android

Vulnerabile l'80% di tutti gli utenti del sistema di Google.



[ZEUS News - www.zeusnews.it - 16-08-2016]

Android bug linux

A volte, la soluzione a un problema non fa altro che crearne un altro, magari persino peggiore.

Nel 2012, con l'introduzione del kernel 3.6, Linux iniziò a implementare la RFC 5961, progettata per prevenire certi tipi di attacco via Internet.

All'epoca non se ne accorse nessuno, ma il modo stesso in cui quella RFC è progettata apre le porte a un altro tipo di attacco, che al giorno d'oggi è presente in tutti i dispositivi basati su Android 4.4 KitKat e successivi, compreso il non ancora rilasciato Android 7 Nougat.

Ciò significa che 1,4 miliardi di dispositivi Android - o, altrimenti detto, circa l'80% degli utenti del sistema di Google - sono vulnerabili al nuovo attacco.

Grazie alla falla è possibile per chiunque possieda una connessione a Internet determinare se due parti - per esempio, un utente col suo smartphone e un server - stiano utilizzando una connessione TCP long-lived e, se la connessione non è crittografata, inserire nel traffico codice o contenuti arbitrari, anche pericolosi.

La particolare pericolosità di questo attacco sta nel fatto che non è necessario avere una particolare "posizione" per sfruttare la vulnerabilità (come negli attacchi man-in-the-middle): chiunque in Internet sia dotato delle adeguate conoscenze può farlo prendendo di mira qualunque vittima.

Non a caso l'exploit viene definito dagli addetti ai lavori off-path: non è necessario trovarsi "sul percorso" della connessione per interferire con essa.

Si potrebbe pensare che, per difendersi, sia sufficiente usare sempre una connessione crittografata, ma ciò è vero solo in parte: la falla permette di determinare se esista un canale e chiudere la connessione.

Tutto ciò permette di dipingere scenari pericolosi: si potrebbe per esempio inserire nei siti visitati da utenti con dispositivi Android del codice JavaScript da utilizzare per attacchi di phishing, magari facendo apparire un messaggio che indichi all'utente che è stato effettuato il logout e spingendolo così a introdurre nuovamente le sue credenziali (e in tal modo rubandole, ovviamente).

Oppure si possono sfruttare vulnerabilità non corrette nel browser o nell'app per le email o per la chat: le possibilità sono molto numerose.

Sondaggio
Quale di questi consigli ritieni pi importante per una vacanza all'insegna della sicurezza?
Aggiornare il sistema operativo, i programmi installati e le applicazioni, eliminando cos eventuali falle di sicurezza gi scoperte.
Evitare di usare WLAN pubbliche (in hotel, Internet Caf, aeroporto...): solitamente sono protette in maniera inadeguata e i dati possono essere spiati. Meglio utilizzare una connessione mobile UMTS.
Evitare di fare online banking in vacanza e non scaricare o salvare dati personali e sensibili su Pc pubblici.
Creare un indirizzo ad hoc per inviare cartoline elettroniche via email, da disattivare al rientro qualora venisse compromesso.
Impostare una password all'accensione su smartphone e tablet e un PIN per lo sblocco della tastiera.
Fare il backup del notebook o del netbook che si porta in vacanza, crittografando i dati per limitare i danni in caso di furto.

Mostra i risultati (1690 voti)
Leggi i commenti (10)

Per fortuna, portare l'attacco non è immediato: a chi voglia sfruttare la falla servono circa 10 secondi per controllare se i due estremi della connessione (l'utente Android e il server) sono connessi; poi altri 45 secondi per inserire il contenuto o il codice.

Insomma: non è un sistema che permetta di prendere di mira moltissime persone, tuttavia contro singoli bersagli precisi è estremamente efficace.

Le aziende interessate dal problema - le varie distribuzioni Linux, ma soprattutto Google per quanto riguarda Android - stanno lavorando alla preparazione e distribuzione di una patch: nel kernel, il problema è stato risolto con la versione 4.7, ma non tutti adoperano l'ultimissimo kernel, e ciò è particolarmente vero in Android, dove aggiornare il kernel generalmente non è possibile senza dover cambiare versione del sistema (operazioni non sempre consentita).

Il gigante di Mountain View ha spiegato che i suoi sviluppatori «sono al corrente della vulnerabilità e stanno intraprendendo le azioni necessarie» ma fa fatto anche notare che «la falla è all'interno delle versioni vulnerabili del kernel Linux e non è specifica di Android».

La vulnerabilità è stata classificata come «moderata» e con ogni probabilità sarà corretta in Nougat. Non è possibile sapere che cosa Google - e i vari produttori di hardware - intendano fare con le versioni precedenti.

In attesa di una correzione, usare connessioni criptate o una VPN può aiutare a ridurre l'esposizione ai rischi.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Fedora e Ubuntu, basta un file audio per violarli
Bug critico in Linux, da nove anni
Grave falla in Android, milioni di smartphone vulnerabili
Falla in Android, così si sblocca lo smartphone senza password
La falla in Android che fa cadere lo smartphone in coma
I dispositivi Android azzerati non sono davvero azzerati
Come bloccare qualunque dispositivo Android
Il bug di Android che paralizza lo smartphone

Commenti all'articolo (ultimi 5 di 15)

{Paolo Del Bene}
@ictuscano si parlare di CopyRight del website a partire dal 2004 fino al 2016. Non mi sembra pero' che ti sia difficile contattare link[/url] e chiedere a John Sullivan a quando risale la notizia. Io ho sottoposto alla tua attenzione un telefono, ma non riesco a capire come ti possa fermare solo a guardate uno schermo che ... Leggi tutto
5-11-2016 20:12

{ictuscano}
@{Paolo Del Bene} Ultimo commento, altrimenti qui stiamo a fare una discussione a due che magari non interessa nessuno. Tu scrivi: "oppure tirate fuori almeno 300.000.000 di euro e fare una factory che produca UNTRUSTED HARDWARE. Le chiacchiere stanno a zero" Ma lo dici TU A ME?? Ma quello che IO ti ho detto nel mio commento:... Leggi tutto
18-8-2016 11:05

{ictuscano}
@{Paolo Del Bene} "Dell'MS-DOS che vai tanto sbandierando come la panacea" ma non hai compreso proprio niente del mio ragionamento, scusa sai. Io ho solo detto che a quei tempi si poteva "maneggiare in proprio un SO", adesso non è più possibile, è una questione troppo complicata, ed a... Leggi tutto
18-8-2016 10:44

{ictuscano}
@{Paolo Del Bene} Mah, cosa c'entri la storia del DOS, DR Dos ecc. ho da capirlo. Per il resto, il GTA04 sarebbe quel coso del link? Cioè una scheda che sostituisce quella precedente nell'OpenMoko? Secondo me è importante lo schermo o come funziona il SO? ma che ragionamento è? OVVIO che è importante... Leggi tutto
18-8-2016 10:41

{Paolo Del Bene}
@ictuscano GTA04 phone link[/url] AllWinners: [url=http://forum.zeusnews.com/link/331372]link[/url] Hardware [url=http://forum.zeusnews.com/link/331373]link[/url] Rms Computing: [url=http://forum.zeusnews.com/link/331374]link[/url] È una grandissima sintesi di ciò che avrei voluto scriverti e che avrebbe richiesto... Leggi tutto
18-8-2016 05:41

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Qual la politica della tua azienda nei confronti dei dispositivi mobili dei dipendenti? Bring Your Own Device oppure Corporate Owned, Personally Enabled?
BYOD
COPE
Non c' una policy dominante, dipende dagli utenti
Non lo so
Non lavoro in un'azienda

Mostra i risultati (808 voti)
Settembre 2019
Gli USA scaricano Huawei e sui portatili arriva Linux Deepin
Falla nelle SIM, vulnerabili 1 miliardo di telefoni
La Francia non vuole Libra in Europa
Il bug di Windows 10 che tinge di rosso gli screenshot
Antibufala: le foto di raggi spaziali che causano incendi nei boschi
Lo smartphone etico attento alle persone e al pianeta
Storie di hacker, campeggi e libertà
USB 4 è ufficiale e raggiunge i 40 Gbit/s
5 consigli (più uno) per non farsi lasciare a piedi dal PC
La lotta al ransomware procede silenziosa ma con successo
La maledizione dei connettori USB
Agosto 2019
GIMP è un insulto: sviluppatori ribelli fondano il fork Glimpse
Sextortion, il malware che registra davvero chi guarda video a luci rosse
Misteriosa malattia colpisce i fumatori di sigarette elettroniche
L'analisi del sangue che predice quando moriremo
Tutti gli Arretrati


web metrics