Google reveló que la cantidad de vulnerabilidades de seguridad de la memoria ha caído por debajo del 20% por primera vez a medida que la compañía continúa adoptando el lenguaje de programación Rust en Android.
«Adoptamos Rust por motivos de seguridad y vimos una reducción de 1.000 veces en la densidad de vulnerabilidad de seguridad de la memoria en comparación con el código C y C++ de Android», dijo Jeff Vander Stoep de Google. «Pero la mayor sorpresa es el impacto que ha tenido Rust en la entrega de software». «Los cambios en Rust redujeron las tasas de reversión en un factor de 4 y redujeron el tiempo dedicado a la revisión del código en un 25%, lo que hace que un método más seguro sea un método más rápido».
El desarrollo se produce poco más de un año después de que el gigante tecnológico anunciara que su transición a Rust había reducido las vulnerabilidades de seguridad de la memoria de 223 en 2019 a menos de 50 en 2024.
La compañía señaló que el código Rust requiere menos revisiones, aproximadamente un 20% menos de revisiones que el código C++, lo que contribuye a tasas de reversión más bajas y aumenta así el rendimiento general del desarrollo.
Google también dijo que tiene planes de extender los «beneficios de seguridad y productividad» de Rust a otras partes del ecosistema de Android, incluido el kernel, el firmware, la presencia cercana, aplicaciones críticas propias como Message Layer Security (MLS) y Chromium, que ha reemplazado sus analizadores de fuentes web, PNG y JSON con implementaciones seguras para la memoria de Rust.
Además, afirmó que las funciones de seguridad de la memoria integradas en los lenguajes de programación son solo una parte de una estrategia integral de seguridad de la memoria, y enfatizó la necesidad de un enfoque de defensa en profundidad.
Como ejemplo, Google destacó el descubrimiento de una vulnerabilidad de seguridad de la memoria (CVE-2025-48530, puntuación CVSS: 8.1) en CrabbyAVIF, una implementación insegura de analizador/decodificador AVIF (archivo de imagen AV1) en Rust, que podría conducir a la ejecución remota de código. Esta falla de desbordamiento del búfer lineal nunca se reveló públicamente, pero Google la solucionó como parte de la actualización de seguridad de Android de agosto de 2025.
Un análisis más detallado de esta vulnerabilidad «casi accidental» reveló que Scudo, el asignador dinámico de memoria en modo de usuario de Android, la hace inexplotable, diseñado para abordar vulnerabilidades relacionadas con el montón, como el desbordamiento del búfer, el uso después de la liberación y la doble liberación sin sacrificar el rendimiento.
Google enfatizó que el inseguro Rust «ya es altamente seguro», diciendo que tiene una densidad de vulnerabilidades significativamente menor que C o C++, y agregando que la incorporación de bloques de código «inseguros» en Rust no desactiva automáticamente las comprobaciones de seguridad del lenguaje de programación.
«Si bien C y C++ llegaron para quedarse, y los mecanismos de seguridad tanto del software como del hardware siguen siendo importantes para la defensa en profundidad, el cambio a Rust es un enfoque diferente donde un camino más seguro es claramente más eficiente», dijo la compañía.
Source link
