vulnerabilità di sicurezza su dispositivi Google e Samsung
Recentemente, è emersa una vulnerabilità che consente il furto di dati da app comunemente considerate sicure, come Authenticator e Signal, attraverso una nuova tecnica nota come “Pixnapping”. Questo problema ha colpito diversi modelli di dispositivi Google Pixel e anche i telefoni della serie Samsung Galaxy.
descrizione della vulnerabilità
Secondo un rapporto di The Register, Google ha riconosciuto l’esistenza di questa vulnerabilità e ha implementato una soluzione parziale. La falla di sicurezza sfrutta alcune debolezze presenti nel sistema operativo Android.
Il sistema Android Intent, utilizzato per la comunicazione tra le app, viene impiegato da un’app malevola per richiedere informazioni sensibili necessarie al rendering. Il rendering dell’app presa di mira viene quindi utilizzato per estrarre pixel sensibili, che possono essere sovrapposti a schermi trasparenti invisibili all’utente. Le informazioni ottenute dall’app minacciosa possono poi essere recuperate tramite un canale secondario, simile alla vulnerabilità GPU.zip, che consente il furto di visualizzazioni renderizzate dalla GPU.
il team di ricerca e la scoperta
Il gruppo di ricerca dietro a Pixnapping è composto da sette ricercatori che sono riusciti a attivare la vulnerabilità su vari modelli di Google Pixel, inclusi i modelli Pixel 9, Pixel 8 e Pixel 7, oltre a un dispositivo Samsung Galaxy S25. Il lavoro svolto è stato inviato a Google nel febbraio 2025.
risoluzioni e aggiornamenti futuri
Dopo aver ricevuto la segnalazione, Google ha rilasciato una patch inclusa nell’aggiornamento di sicurezza di settembre 2025. Questo sviluppo rappresenta un passo importante nella gestione della minaccia percepita come prioritaria.
ulteriori problematiche non risolte
Il team di ricerca ha indicato che ci sono ulteriori questioni da affrontare. È stata segnalata una possibile soluzione alternativa alla recente patch di sicurezza, relativa alla vulnerabilità identificata con il codice CVE-2025-48561. Questa soluzione non è stata divulgata né da Google né dal team poiché l’attuale aggiornamento non riesce a risolverla.
Google ha annunciato l’intenzione di rilasciare un ulteriore aggiornamento per questa vulnerabilità nel prossimo aggiornamento di sicurezza previsto per dicembre 2025. Finora non sono state registrate istanze note in scenari reali.
- Google Pixel 9
- Google Pixel 8
- Google Pixel 7
- Samsung Galaxy S25
- The Register (fonte del rapporto)
- Panda Security (ricerca sul tema)
- CVE-2025-48561 (codice della vulnerabilità)
Lascia un commento