Una auditoria del núcleo (kernel) de Android descubrió 88 "defectos de alto riesgo" que tienen un importante potencial para causar vulnerabilidades de seguridad, pérdida de datos, o problemas de calidad tales como caídas de sistema.
Según Coverity, una firma dedicada al análisis de código, los defectos de alto riesgo incluyen fallas de corrupción de memoria, acceso ilegal de memoria y fugas de recursos.
El análisis fue realizado sobre el kernel 2.6.32 de Android "froyo". Este kernel está orientado a teléfonos inteligentes basados en el chipset Qualcomm MSM7xxx/QSD8×50, específicamente el HTC Droid Incredible. Además del kernel estándar, esta versión incluye soporte para acceso inalámbrico, pantalla táctil y drivers de cámara.
Aquí está lo esencial de lo encontrado por Coverity:
- El kernel Android usado en el HTC Droid Incredible tiene cerca de la mitad de los defectos que serían de esperar en un software similar del mismo tamaño.
- El kernel Android tiene mejor promedio que la industria en la densidad de errores (un defecto cada 1.000 líneas de código); sin embargo el informe descubrió 359 defectos que se cree que están en la versión despachada del HTC Droid Incredible. Creemos que los defectos que encontramos son un ejemplo de lo que podrían ser despachado en muchos dispositivos OEM y productos que se apoyan en la plataforma Android.
- Encontramos 88 defectos de alto riesgo en Android: 25% de los defectos descubiertos en Android, incluyendo corrupciones de memoria, accesos ilegales a memoria y fugas de recursos que son consideradas de alto riesgo con un considerable potencial de causar vulnerabilidades de seguridad, pérdida de datos, o problemas de calidad tales como caídas de sistema. Estos son tipos de defectos que muchos de nuestros clientes arreglan y eliminan completamente antes de despachar un producto.
- La responsabilidad por la integridad del software Android está fragmentada. El problema no es distinto con Android que lo que vemos a través del código abierto. Android está basado en Linux, que tiene miles de contribuyentes. Sumemos a eso los desarrolladores Android de Google, los contribuyentes de Android de la gran comunidad de desarrolladores, y los OEMs que proveen componente para configuraciones específicas de Android para soportar distinto tipo de dispositivos, y las lineas de responsabilidad rápidamente se vuelven borrosas. No queda claro quien es responsable en última instancia, pero está claro que se necesita un nuevo nivel de visibilidad para darle a los OEMs que incorporan Android en su cadena de suministro de software con una medida objetiva de la integridad del software Android.
Autor: Ryan Naraine
Fuente: Blogs ZDNet
