Microsoft scopre falla su app Android con 4 mld di download complessivi

Microsoft ha scoperto una vulnerabilità piuttosto massiccia nell’ecosistema di app Android in distribuzione sul Play Store: a rischio sono software anche molto diffusi come il file manager ufficiale di Xiaomi e la suite office WordPerfect Suite, per un totale di oltre 4 miliardi di download. Per chiarire, non si tratta di app infette da virus, ma che potrebbero diventare un vettore di attacco.

Il team di cybersicurezza del colosso di Redmond spiega di aver individuato un metodo improprio di implementare la cosiddetta app isolation, tramite cui le app in esecuzione su un dispositivo Android possono essere sicure di essere le uniche a interagire con i propri file e risorse. La falla identificata da Microsoft, chiamata “Dirty Stream”, fa sì che un’app possa essere indotta con l’inganno a sovrascrivere e modificare file che non dovrebbe essere autorizzata a toccare.

Google 19 Lug

Il rischio non è solo per il singolo dispositivo: alcune delle app a rischio, tra cui il file manager di Xiaomi, possono collegarsi ad altri dispositivi nella rete locale tramite i protocolli FTP e SMB, e compromettere a loro volta tutti i sistemi della rete che condividono risorse tramite essi.

La buona notizia è che il problema è già stato risolto: Microsoft ha comprensibilmente mantenuto il riserbo sulla vulnerabilità, parlandone solo con gli sviluppatori coinvolti al fine di sviluppare e distribuire una soluzione. Ciò è avvenuto verso marzo, quindi si può dire che a questo punto le patch correttive dovrebbero essere arrivate a tutti. Detto questo, Microsoft consiglia di accertarvi che ciò sia vero (per esempio, se avete disattivato gli aggiornamenti automatici), e su app che implementano SMB o FTP l’ideale sarebbe un reset delle credenziali e un po’ di attenzione extra alla ricerca di comportamenti insoliti o sospetti.