Många sårbarheter i Android-kärnan

Kodanalytikerna Coverity har undersökt Android-kärnan och funnit ett stort antal sårbarheter, flera av dem allvarliga.

I Android har man hittat 359 brister i koden, omkring en fjärdedel av dessa ska vara av allvarligt slag och utgöra potentiella säkerhetsbrister.

Den version av Androidkärnan som undersökts är 2.6.32 (”Froyo”), exakt hur det ser ut i tidigare versioner av Android är svårt att säga.

Vad innebär detta för oss egentligen?

http://techworld.idg.se/2.2524/1.350726/manga-sarbarheter-i-android-karnan

Press releasen:

http://www.coverity.com/html/press/coverity-scan-2010-report-reveals-high-risk-software-flaws-in-android.html

 

Tror det är ganska säkert med tanke att android har ganska bra sandbox. Finns inge proof of concept vad jag vet.

 

Länk till rapporten: http://www.coverity.com/library/pdf/coverity-scan-2010-open-source-integrity-report.pdf

Vad det betyder? Inte ett piss. Bristerna dom hittat är mest trams och false-positives.

 

Låt oss sätta dessa nuffror i relation till andra projekt. Enligt http://www.eweekeurope.co.uk/news/serious-security-bugs-found-in-android-kernel-11040 har jämförelser gjorts med resultatet från samma verktyg på andra opensource-projekt. Fel-densiteten (mängden fel per 1000 rader kod) är mindre i Android-kärnan än för genomsnittet av opensource-projekten.

Då verktyget bygger på att det analyserar källkoden går det inte att jämföra med feldensiteten hos kommersiella system där man inte har tillgång till källkoden. Sannolikt har de flesta kommersiella system högre feldensitet än opensource-system där många granskar koden och påtalar upptäckta fel (som t ex denna rapport).

Exakt vilka fel som upptäckts kommer inte publiceras förren i januari, detta för att utvecklarna skall få tid att ta fram patchar om något fel verkligen skulle visa sig vara kritiskt.

m v h Henrik

 

Som henca säger bör man se det i jämförelse med andra projekt. Kod kommer aldrig vara perfekt. Det bästa man kan göra är att tänka rätt när man designar det och sedan fixa alla hål som hittas.

Sedan kör ju de flesta custom-roms nyare linux-kärnor för oss som bryr oss om det.