Pixel 6 ottiene finalmente la patch Dirty Pipe, un mese dopo il Galaxy S22

L’aggiornamento di sicurezza Android di maggio è uscito , il che significa che Pixel 6 sta finalmente ricevendo una patch per la vulnerabilità Dirty Pipe. L’aggiornamento arriva un mese dopo che Samsung ha inviato la patch del Galaxy S22 a Google, ma almeno è finalmente arrivato.

Dirty Pipe, noto anche come CVE-2022-0847, è una delle maggiori vulnerabilità di Linux degli ultimi anni. La vulnerabilità consente a un utente senza privilegi di sovrascrivere i dati di sola lettura, il che potrebbe portare a un’ulteriore escalation dei privilegi. In realtà Android ha una demo funzionante di questo. L’utente di Twitter @Fire30_ ha fatto una demo dell’utilizzo del bug per eseguire il root di Pixel 6. I dispositivi Linux con versione 5.8 e successive sono vulnerabili e, dopo che la vulnerabilità è stata scoperta il 19 febbraio, le patch per le distribuzioni Linux per PC hanno iniziato a essere distribuite 17 giorni dopo .

Tuttavia, le cose sono diverse con Android. Innanzitutto, non molti dispositivi usano ancora il kernel Linux 5.8. Anche se questa versione è stata rilasciata nell’agosto 2020, Android è passato dalla 5.4 alla 5.10 solo con il rilascio di Android 12 a novembre. Poiché i dispositivi esistenti di solito non passano da una versione del kernel principale all’altra quando ricevono un aggiornamento Android, ciò significa che solo i nuovi dispositivi con Android 12 hanno il kernel 5.10. Si tratta di un numero molto limitato di nuovi dispositivi rilasciati negli ultimi otto mesi circa, vale a dire Pixel 6, Galaxy S22 e OnePlus 10 Pro.

Secondo il ricercatore che ha scoperto la vulnerabilità, Google ha corretto Dirty Pipe nel codice Android il 23 febbraio. Samsung ha preso quel codice da Google e lo ha lanciato sul Galaxy S22 il mese scorso, ma Google ha finito per aspettare un mese in più prima che raggiungesse finalmente gli utenti di Pixel 6 questa settimana. OnePlus è ancora in ritardo.

Google classifica solo Dirty Pipe come gravità “alta”, il che spiega perché la società non ha rilasciato rapidamente un aggiornamento. Dirty Pipe non raggiunge il livello di vulnerabilità “critico” su Android perché non può essere utilizzato da remoto. È necessario l’accesso locale per utilizzare l’exploit e, fintanto che non ci sono altre vulnerabilità note, dovresti essere al sicuro finché non installi nulla di dannoso.

In altre notizie sull’aggiornamento di Android, la fine della linea Pixel 3a di fascia media è proprio dietro l’angolo. Dopo tre anni di importanti aggiornamenti del sistema operativo, maggio 2022 segna l’ultima versione ufficiale del sistema operativo Pixel 3a. Google ha dichiarato a 9to5Google che il dispositivo riceverà l’aggiornamento finale entro luglio 2022.