Samsung corregge lo zero-day Android CVE-2025-21043 segnalato da Meta

Samsung ha corretto CVE-2025-21043, una vulnerabilità zero-day che permetteva esecuzione remota di codice su dispositivi Android attraverso una libreria codec di terze parti. La segnalazione è arrivata dai team di sicurezza di Meta e WhatsApp il 13 agosto 2025, non dal tradizionale vulnerability disclosure verso il vendor dei dispositivi. Questa catena di responsabilità disegna un ecosistema dove il confine tra chi scopre, chi patcha e chi protegge l'utente finale è sempre più sfuggente.

Un parser di immagini come porta di ingresso

Il nucleo tecnico risiede in libimagecodec.quram.so, libreria codec sviluppata da Quram e integrata da Samsung nei propri dispositivi. Si tratta di un componente di parsing multimediale che elabora file immagine: una superficie d'attacco storicamente fertile perché i parser devono gestire formati complessi, varianti non standard e input potenzialmente malformati.

La falla è classificata come out-of-bounds write. Un attaccante remoto può sfruttarla per corrompere la memoria del processo ed eseguire codice arbitrario. La natura esatta del vettore — se richieda apertura di un file da parte dell'utente o possa attivarsi senza interazione — non è specificata dalla fonte. Questa incertezza ha implicazioni operative concrete: dove l'interazione è richiesta, il profilo di rischio cambia significativamente rispetto a uno scenario zero-click.

"Samsung fixed the remote code execution flaw CVE-2025-21043 that was exploited in zero-day attacks against Android devices." — Security Affairs

Chi scopre e chi protegge: il ruolo di Meta e WhatsApp

Il 13 agosto 2025, i team di sicurezza di Meta e WhatsApp hanno inviato la segnalazione a Samsung. Questa dinamica è rara: tipicamente le vulnerabilità nei componenti del sistema operativo o delle librerie di terze parti vengono scoperte da ricercatori indipendenti, vendor di sicurezza o dal produttore stesso. Qui, un'azienda di social media e messaging ha identificato e documentato un bug in una libreria codec di un produttore di hardware concorrente.

A fine agosto 2025, WhatsApp ha inviato notifiche di minaccia a individui che ritiene bersagliati da una campagna spyware "avanzata" negli ultimi 90 giorni. La fonte affianca questa notizia alla descrizione di CVE-2025-21043 ma non stabilisce che la vulnerabilità Samsung sia il vettore specifico di quella campagna. Questa prossimità testuale, non essendo dichiarata come causalità, deve essere letta con cautela: è possibile che le due informazioni siano contestuali piuttosto che concatenate.

La patch e il problema della visibilità

Secondo la fonte primaria, la correzione è disponibile a partire da SMR Sep-2025 Release 1 (Security Maintenance Release). La pagina ufficiale Samsung per gli aggiornamenti di sicurezza, consultata come fonte di supporto, mostra nel testo estratto solo SMR del 2026: questo rende non verificabile dall'esterno, al momento, la distribuzione effettiva della patch a tutti i modelli interessati.

Questa opacità è ricorrente nel patch management Android. Samsung gestisce il proprio programma SMR indipendentemente dal ciclo di aggiornamenti mensili Google, ma la frammentazione dei modelli, delle varianti regionali e degli operatori telefonici introduce latenze e gap di copertura che la fonte non quantifica.

Perché è importante

Non documenta inoltre se la campagna spyware avvertita da WhatsApp abbia effettivamente sfruttato CVE-2025-21043 o se le due notizie siano solo temporalmente sovrapposte.

La fonte non elenca misure correttive specifiche al di là dell'installazione del SMR Sep-2025 Release 1, né fornisce indicatori di compromesso per verificare se un dispositivo sia stato bersagliato. Non è chiaro se WhatsApp abbia rilasciato patch proprie o se la propria dichiarazione di aver "già patchato la falla sfruttata dagli attaccanti" si riferisca a un bug diverso nella propria applicazione.

Questa stratificazione rende il patching tradizionale insufficiente a garantire protezione: il punto di contatto con l'utente non è chi detiene il bug, ma chi ha visibilità sull'abuso.

Per il settore, il caso conferma che i parser multimediali restano una superficie d'attacco prioritaria per campagne spyware commerciali e APT. La complessità dei formati immagine, la presenza di librerie di terze parti spesso non sottoposte a audit estensivi, e l'integrazione profonda nel sistema operativo creano una catena di dipendenza dove la sicurezza di ciascun anello condiziona quella di tutti gli altri.

Fonti

• https://securityaffairs.com/182135/hacking/samsung-fixed-actively-exploited-zero-day.html
• https://security.samsungmobile.com/securityUpdate.smsb
• https://securityaffairs.com/extended-cookie-policy