Stagefright fa riferimento a vari bug di sicurezza che prendono di mira una libreria di codice all'interno del sistema operativo mobile Android. La libreria multimediale libstagefright è un elemento comune nelle versioni di Android 2.2 e successive, e i difetti all'interno della libreria tendono ad essere interi overflow che possono portare a condizioni di overflow del buffer di memoria potenzialmente sfruttabili.
L'exploit Android Stagefright è stato scoperto dalla società di sicurezza Zimperium, che ha segnalato pubblicamente l'exploit per la prima volta il 21 luglio 2015. Il mese successivo Google si è impegnata a rilasciare un nuovo ciclo di aggiornamento mensile per il sistema operativo Android alla conferenza Black Hat USA.
Google ha rilasciato il primo aggiornamento mensile per un lotto iniziale di bug relativi a Stagefright nell'agosto 2015, seguito da un'altra patch rilasciata ad ottobre per risolvere un secondo pacchetto di bug denominato Stagefright 2.0.
Dettagli exploit Stagefright e suggerimenti per la protezione del dispositivo
La libreria libstagefright viene tipicamente utilizzata per aiutare il sistema operativo mobile Android a elaborare file video e collegamenti a file video inviati tramite messaggi multimediali (MMS) e messaggi di testo. Poiché molte app di messaggistica elaborano automaticamente i video in modo che siano pronti per essere visualizzati all'apertura del messaggio, l'exploit di Android Stagefright potrebbe essere compromesso all'insaputa dell'utente.
L'exploit Stagefright potrebbe potenzialmente consentire a un utente malintenzionato di ottenere l'accesso alla fotocamera del dispositivo mobile, a Internet, a tutti i flussi audio e all'amministrazione Bluetooth. Nonostante centinaia di milioni di dispositivi Android funzionino con la libreria libstagefright imperfetta, al momento non ci sono prove che l'exploit Stagefright sia stato compromesso in natura.
Gli utenti Android sono incoraggiati ad aggiornare i propri dispositivi mobili a una versione più recente di Android come Android Lollipop (5.1 e versioni successive) che è supportata dal fornitore del dispositivo e che contiene patch per Stagefright. Gli utenti possono anche proteggersi disabilitando la funzione Recupero automatico nelle app di messaggistica in modo che i video non vengano caricati automaticamente in background e potenzialmente infettino il dispositivo.