Zhenpeng Lin, ricercatore di sicurezza e dottorando della Northwestern University, ha recentemente scoperto una vulnerabilità di questo tipo sul Google Pixel 6, che potrebbe essere a rischio anche dopo aver installato l’ultimo aggiornamento di sicurezza del 2022 luglio.
La vulnerabilità in questione colpisce la parte del kernel di Android, consentendo all’aggressore di ottenere un accesso arbitrario in lettura e scrittura, il privilegio di root e l’autorità di disabilitare SELinux. Con questo tipo di escalation dei privilegi, un malintenzionato potrebbe manomettere il sistema operativo, manipolare le routine di sicurezza integrate e fare molti più danni.
Mentre Lin ha dimostrato l’exploit sul Google Pixel 6, una manciata di dispositivi Android di ultima generazione sono suscettibili a questa particolare minaccia zero-day, tra cui il Google Pixel 6 Pro e la famiglia Samsung Galaxy S22.
In realtà, la vulnerabilità riguarda tutti i dispositivi Android che eseguono la versione 5.10 del kernel Linux.
Secondo Lin, anche il normale kernel Linux è interessato.
In particolare, i dettagli precisi della vulnerabilità non sono stati resi pubblici. Lin, tuttavia, è pronto a partecipare al Black Hat USA 2022 insieme ad altri due ricercatori, Yuhang Wu e Xinyu Xing. Secondo la sintesi della loro presentazione – “Cautious: A New Exploitation Method! No Pipe but as Nasty as Dirty Pipe” – il vettore di attacco è essenzialmente una versione generalizzata, ma più potente, della famigerata vulnerabilità Dirty Pipe. Inoltre, può essere esteso per ottenere l’escape dei container anche su Linux.
Sebbene Google sia già stata informata, non vi è alcun riferimento CVE pubblico per la vulnerabilità. Considerando il funzionamento delle patch di sicurezza di Google, è possibile che il problema non venga affrontato prima del rilascio della patch di settembre. La buona notizia è che non si tratta di un RCE (remote code execution) che può essere sfruttato senza l’interazione dell’utente.
