Era la prima settimana di Marzo quando si ha avuto notizia di Dirty Pipe, seria vulnerabilità del kernel Linux (patchata a partire dai kernel 5.16.11, 5.15.25 e 5.10.102) che consentiva a qualsiasi utente di fare privilege escalation e diventare root.
Ebbene, se la fix è arrivata con tempestività sulle nostre workstation, non si può dire lo stesso con i dispositivi Android che, ricordiamo, usano Linux e sono praticamente sempre indietro con gli aggiornamenti di sicurezza, a meno di vendor particolarmente virtuosi.
Il ‘premio’ virtuosità va in questo caso a Samsung che, secondo xda-developers, rilascierà la patch già questo mese, un mese prima di Google, mentre per gli altri vendor si dovrà ancora aspettare.
Il problema dei ritardi negli aggiornamenti dei dispositivi Android non è nuovo ed è una situazione che sembra migliorata più di tanto e a farne le spese è sempre l’utente finale, che ha acquistato un dispositivo su cui però non ha il controllo che avrebbe sulla sua workstation Linux e l’unica opzione è attendere che ci pensi l’azienda produttrice.
La situazione è resa ancora peggiore dal fatto che gli aggiornamenti di sicurezza non vengono rilasciati affatto per dispositivi che hanno raggiunto la loro End-of-Life, che per alcuni dispositivi acquistati è già trascorsa mentre erano ancora sugli scaffali.
E’ facile intuire come, vista la mole di dispositivi mobili ad oggi nel mondo, questo sia un problema di forte impatto che però non sembra avere immediata soluzione, vista l’enorme frammentazione e customizzazione di Android come sistema operativo tra brand diversi e visto che l’utente medio non sembra conoscere la problematica e quindi i mancati aggiornamenti non sembrano impattare i profitti.
Rimane quindi solo la speranza nel buon cuore dei vendor, perché anche i vendor hanno un cuore, giusto?
Tags: Android, cybersecurity, dirty-pipe, patching
English (US)