El código Rust requiere menos revisiones
Google ha revelado que la continua adopción del lenguaje de programación Rust en Android ha dado como resultado que el número de vulnerabilidades de seguridad de memoria caiga por debajo del 20% del total de vulnerabilidades por primera vez.
"Adoptamos Rust por su seguridad y estamos viendo una reducción de 1.000 veces en la densidad de vulnerabilidades de seguridad de memoria en comparación con el código C y C++ de Android. Pero la mayor sorpresa fue el impacto de Rust en la entrega de software", dijo Jeff Vander Stoep de Google . "Con los cambios en Rust teniendo una tasa de reversión 4 veces menor y dedicando un 25 % menos de tiempo a la revisión de código, el camino más seguro ahora también es el más rápido".
Este desarrollo se produce poco más de un año después de que el gigante tecnológico revelara que su transición a Rust condujo a una disminución de las vulnerabilidades de seguridad de la memoria de 223 en 2019 a menos de 50 en 2024.
La empresa señaló que el código Rust requiere menos revisiones, aproximadamente un 20% menos que sus contrapartes en C++, y ha contribuido a una menor tasa de reversión, mejorando así el rendimiento general del desarrollo.
Google también dijo que planea extender las "ventajas de seguridad y productividad" de Rust a otras partes del ecosistema de Android, incluyendo el kernel, el firmware y aplicaciones propias críticas como Nearby Presence, Message Layer Security ( MLS ) y Chromium, cuyos analizadores para PNG, JSON y fuentes web han sido reemplazados por implementaciones seguras en memoria en Rust.
Además, ha enfatizado la necesidad de un enfoque de defensa en profundidad, afirmando que las características de seguridad de memoria integradas en el lenguaje de programación son solo una parte de una estrategia integral de seguridad de memoria.
Como ejemplo, Google destacó el descubrimiento de una vulnerabilidad de seguridad de memoria (CVE-2025-48530, puntuación CVSS: 8.1) en CrabbyAVIF, una implementación de analizador/decodificador de archivos AVIF (archivo de imagen AV1) en Rust (unsafe), que podría haber permitido la ejecución remota de código. Si bien la vulnerabilidad de desbordamiento de búfer lineal nunca llegó a una versión pública, Google la corrigió como parte de su actualización de seguridad de Android de agosto de 2025.
Un análisis más detallado de la vulnerabilidad de "casi fallo" reveló que Scudo, un asignador de memoria dinámico en modo usuario de Android diseñado para combatir vulnerabilidades relacionadas con el montón, como el desbordamiento de búfer, el uso después de la liberación y la doble liberación, la hacía no explotable sin sacrificar el rendimiento.
Google hizo hincapié en que Rust, aunque sea inseguro, "ya es bastante seguro" y afirmó que la densidad de vulnerabilidades es significativamente menor en comparación con C y C++, añadiendo que la incorporación de un bloque de código "inseguro" en Rust no desactiva automáticamente las comprobaciones de seguridad del lenguaje de programación.
"Si bien C y C++ persistirán, y los mecanismos de seguridad de software y hardware siguen siendo fundamentales para la defensa en capas, la transición a Rust es un enfoque diferente donde la vía más segura también es demostrablemente más eficiente", afirmó.
