Nel bollettino di sicurezza di novembre per Android è stata pubblicata informazione sulla vulnerabilità CVE-2025-48593 nel sottosistema Bluetooth, che colpisce le versioni di Android dalla 13 alla 16. La vulnerabilità è stata classificata con un livello critico di pericolo (9.8 su 10) poiché può portare all'esecuzione remota di codice durante l'elaborazione di pacchetti Bluetooth appositamente formattati.
Google non ha stillato una descrizione dettagliata della vulnerabilità, ma i ricercatori indipendenti affermano che il problema non colpisce i normali smartphone, ma riguarda solo i dispositivi Bluetooth capaci di funzionare come altoparlanti, come gli smart speaker, gli smart watch e i sistemi di infotainment per auto. Per sfruttare la vulnerabilità, l'utente deve accoppiare il proprio dispositivo con quello dell'attaccante, quindi per bloccare il problema è sufficiente non accettare richieste di accoppiamento sospette (nel bollettino Google è stato menzionato che non sono richieste azioni da parte dell'utente per sfruttare la vulnerabilità).
La correzione consiste nell'aggiungere una chiamata per controllare l'esistenza del Discovery Database durante l'uso del profilo Bluetooth Handsfree e fermare la ricerca dei peer utilizzando il protocollo SDP (Service Discovery Protocol), nonché resettare e pulire la struttura p_disc_db ("discovery database"). Alcune manipolazioni che riguardano la gestione degli errori e il ripristino delle connessioni durante la scoperta dei servizi Bluetooth e la negoziazione delle interazioni con il cliente portano a accessi a zone di memoria già liberate (use-after-free). server La correzione è già stata trasferita nel codice sorgente di LineageOS. È disponibile un prototipo preliminare di exploit che provoca un crash al lancio di Android in un emulatore speciale. Sono state notate anche tentativi di vendita di exploit funzionanti, ma sembra che si tratti di tentativi di diffusione di malware o di vendite di fuffa da parte di truffatori.
La correzione è già stata trasferita nel codice sorgente di LineageOS. È disponibile un prototipo preliminare di exploit che provoca un crash al lancio di Android in un emulatore speciale. Sono state notate anche tentativi di vendita di exploit funzionanti, ma sembra che si tratti di tentativi di diffusione di malware o di vendite di fuffa da parte di truffatori.
Oltre a questa vulnerabilità, nell'aggiornamento di novembre di Android è stata corretta la vulnerabilità CVE-2025-48581, che porta a un aumento dei privilegi. Il problema riguarda solo Android 16 ed è contrassegnato come critico. La causa della vulnerabilità è un errore logico nella funzione VerifyNoOverlapInSessions del file apexd.cpp, che consente di bloccare l'installazione di aggiornamenti per la correzione di problemi di sicurezza. Si osserva che la vulnerabilità può essere utilizzata per un aumento locale dei privilegi. Non è richiesta alcuna azione da parte dell'utente per eseguire l'attacco.
Fonte: opennet.ru
