Stagefright, Android e la nuova corsa alla patch

Un brivido ha percorso le aziende impegnate nella commercializzazione di gadget Android dopo l’annuncio dell’ attacco contro Stagefright , una minaccia che mette a rischio quasi 1 miliardo di dispositivi: è apparentemente quanto basta per spingere i player di settore a rivedere drasticamente il modo in cui gestiscono le patch e gli aggiornamenti.

Le vulnerabilità identificate dai ricercatori possono essere sfruttate per compromettere un terminale mobile con il semplice invio di un MMS o di un contenuto multimediale veicolato da qualsiasi servizio di messaggistica o da un link, e per correre ai ripari Google ha prima di tutto distribuito una versione aggiornata della app di messaggistica ufficiale (Messenger) e altre contromisure per gli smartphone e i gadget della linea Nexus.

Adrian Ludwig, ingegnere di Google per la sicurezza Android, ha in queste ore – durante la conferenza Black Hat di Las Vegas – definito “esagerato” l’allarme lanciato dai ricercatori in merito alla gravità dei problemi in Stagefright: misure di sicurezza aggiuntive come la tecnologia Address Space Layout Randomization (ASLR) sono in grado di mitigare grandemente i rischi di compromissione, ha riferito Ludwig.

Cionondimeno, l’attenzione nata intorno a Stagefright ha spinto Google a modificare in maniera radicale la gestione degli aggiornamenti per la piattaforma Android, che d’ora in poi verranno dispensati con cadenza mensile per i Nexus e i dispositivi venduti direttamente dalla corporation sull’apposito store online.

L’allarme per i buchi in Stagefright, sfruttabili in maniera tanto semplice, è stato poi recepito anche da altri grossi nomi che fanno business con Android: Samsung ha annunciato un nuovo piano di distribuzione degli update anch’esso mensile, l’operatore mobile americano Sprint ha prontamente avviato il rilascio delle patch correttive e Deutsche Telekom si è spinta fino alla disabilitazione degli MMS per evitare ogni rischio alla fonte.

A contribuire, forse, alla sicurezza su Android ci pensano infine gli utenti, sempre più attivi nell’aggiornare la versione dell’OS mobile a Lollipop con un +5,7 per cento di installazioni registrate da Google tra giugno (12,4 per cento di market share) e luglio (18,1 per cento). Anche Lollipop, in ogni caso, risulta vulnerabile ai bug in Stagefright senza una patch.

Alfonso Maruccia