Google ha anunciado que la adopción continua del lenguaje de programación Rust en Android ha provocado que el número de vulnerabilidades de memoria caiga por primera vez por debajo del 20% del total de vulnerabilidades.
“Adoptamos Rust por su seguridad y estamos viendo una reducción de 1.000 veces en las vulnerabilidades de la memoria en comparación con el código C y C++ de Android. Pero la mayor sorpresa ha sido el impacto de Rust en la entrega de software”, dijo Jeff Vander Stoep de Google. “Dado que los cambios de Rust tienen una tasa de reversión cuatro veces menor y requieren un 25 % menos de tiempo de revisión del código, el camino más seguro ahora también es el más rápido”.
El desarrollo se produce poco más de un año después de que el gigante tecnológico anunciara que su transición a Rust resultó en una caída en las vulnerabilidades de memoria de 223 en 2019 a menos de 50 en 2024.
La compañía señaló que el código Rust requiere menos revisiones, alrededor de un 20% menos de revisiones que sus contrapartes C++, y ha contribuido a una tasa de reversión más baja, mejorando el rendimiento general del desarrollo.
Google también dijo que planea extender los “beneficios de seguridad y productividad” de Rust a otras partes del ecosistema de Android, incluido el kernel, el firmware y aplicaciones críticas propias como Near Presence, Message Layer Security (MLS) y Chromium, cuyos analizadores de fuentes web, JSON y PNG han sido reemplazados por implementaciones seguras para la memoria en Rust.
Además, enfatizó la necesidad de un enfoque de defensa profundo y explicó que las características de seguridad de la memoria integradas del lenguaje de programación eran sólo una parte de una estrategia integral de seguridad de la memoria.
Como ejemplo, Google destacó el descubrimiento de una vulnerabilidad de memoria (CVE-2025-48530, puntuación CVSS: 8.1) en CrabbyAVIF, una implementación de analizador/decodificador AVIF (archivo de imagen AV1) en Rust inseguro, que podría haber llevado a la ejecución remota de código. Aunque la falla de desbordamiento del búfer lineal nunca se hizo pública, Google la parchó como parte de su actualización de seguridad de Android de agosto de 2025.
Un análisis más detallado de la vulnerabilidad “casi accidente” reveló que Scudo, un asignador de memoria dinámico en modo de usuario en Android, la volvió inexplotable y está diseñada para abordar vulnerabilidades relacionadas con el montón, como el desbordamiento del búfer, el uso después de la liberación y la doble liberación sin afectar el rendimiento.
Google enfatizó que el inseguro Rust “ya es bastante seguro”, diciendo que la densidad de vulnerabilidades es significativamente menor en comparación con C y C++, y agregó que incluir un bloque de código “inseguro” en Rust no desactiva automáticamente los controles de seguridad del lenguaje de programación.
“Si bien C y C++ permanecen y los mecanismos de seguridad de software y hardware siguen siendo críticos para la defensa en capas, la transición a Rust es un enfoque diferente en el que la ruta más segura también ha demostrado ser más eficiente”, dijo.
About The Author
