Sommario
Le recenti patch di sicurezza rilasciate da Google e Microsoft evidenziano il crescente rischio delle vulnerabilità informatiche nei sistemi operativi e nei servizi cloud. Google ha corretto 47 falle di sicurezza nel sistema operativo Android, tra cui una attivamente sfruttata dagli hacker. Microsoft, invece, ha rilasciato aggiornamenti per due vulnerabilità critiche che interessano Azure AI Face Service e Microsoft Account, una delle quali con un punteggio di pericolosità 9.9 su 10.
Google corregge 47 falle di sicurezza in Android
Google ha rilasciato nuove patch di sicurezza per Android, risolvendo 47 vulnerabilità, tra cui CVE-2024-53104, un difetto di escalation dei privilegi attivamente sfruttato dagli hacker.
CVE-2024-53104: una minaccia per la sicurezza di Android
La vulnerabilità CVE-2024-53104 (punteggio CVSS: 7.8) si trova nel driver USB Video Class (UVC) del kernel di Linux, introdotto con la versione 2.6.26 del 2008. Il bug consente un out-of-bounds write, ovvero un errore che permette la scrittura di dati oltre i limiti previsti della memoria, portando a:
- corruzione della memoria
- crash del sistema
- esecuzione arbitraria di codice
Google ha confermato che questa vulnerabilità è stata sfruttata in attacchi reali, probabilmente da strumenti forensi di estrazione dati utilizzati da cybercriminali o forze dell’ordine per accedere illegalmente ai dispositivi.
Altre vulnerabilità critiche corrette
Un’altra vulnerabilità corretta è CVE-2024-45569 (CVSS 9.8), che interessa i moduli WLAN di Qualcomm. Questa falla permette l’esecuzione di codice da remoto, rendendo i dispositivi vulnerabili ad attacchi che non richiedono interazione dell’utente.
Per facilitare l’implementazione delle patch da parte dei produttori di smartphone, Google ha rilasciato due livelli di aggiornamento:
- 2025-02-01 per correggere le vulnerabilità comuni a tutti i dispositivi Android
- 2025-02-05 per affrontare falle specifiche per alcuni modelli
Gli utenti sono invitati ad aggiornare i propri dispositivi il prima possibile per mitigare il rischio di exploit.
Microsoft corregge vulnerabilità critiche in Azure AI e Microsoft Account
Parallelamente, Microsoft ha rilasciato aggiornamenti per correggere due gravi vulnerabilità che potrebbero consentire agli hacker di elevare i propri privilegi e compromettere i sistemi cloud.
CVE-2025-21415: autenticazione bypassata in Azure AI Face Service
La falla CVE-2025-21415 (CVSS 9.9) riguarda il servizio Azure AI Face Service e consente a un utente autenticato di ottenere privilegi elevati all’interno della rete. Questa vulnerabilità è particolarmente pericolosa perché potrebbe permettere ad attori malevoli di manipolare i sistemi di riconoscimento facciale per accedere a informazioni riservate.
Microsoft ha confermato l’esistenza di un proof-of-concept (PoC) per questa vulnerabilità, suggerendo che la falla fosse già nota e potenzialmente sfruttabile dagli hacker.
CVE-2025-21396: vulnerabilità in Microsoft Account
Un’altra vulnerabilità, CVE-2025-21396 (CVSS 7.5), riguarda il servizio di autenticazione Microsoft Account. Il bug è dovuto a un’errata gestione delle autorizzazioni, che permette a un utente non autorizzato di ottenere privilegi elevati.
Microsoft ha confermato che entrambe le falle sono state completamente corrette e non richiedono alcuna azione da parte degli utenti.
Sicurezza informatica: la crescente trasparenza di Microsoft
L’azienda di Redmond ha recentemente migliorato la trasparenza nella gestione delle vulnerabilità nei suoi servizi cloud, pubblicando CVE anche per falle che non richiedono l’intervento degli utenti. Questa politica ha lo scopo di rafforzare la sicurezza e migliorare la collaborazione tra esperti di cybersecurity.
Microsoft ha dichiarato:
“Condividendo apertamente informazioni sulle vulnerabilità scoperte e risolte, miglioriamo la resilienza della nostra infrastruttura e garantiamo una maggiore protezione ai nostri utenti.”
Le patch rilasciate da Google e Microsoft dimostrano che le minacce informatiche stanno diventando sempre più sofisticate e mirano sia ai dispositivi mobili che ai servizi cloud. Le vulnerabilità come CVE-2024-53104 e CVE-2025-21415 sottolineano l’importanza di aggiornare costantemente i sistemi per evitare attacchi informatici.
Gli utenti e le aziende devono adottare una strategia di sicurezza proattiva, installando tempestivamente le patch e monitorando le vulnerabilità nei propri dispositivi e infrastrutture cloud.
