Google ha revelado que la adopción continua por parte de la compañía del lenguaje de programación Rust en Android ha resultado en que el número de vulnerabilidades de seguridad de la memoria caiga por debajo del 20% por primera vez.
«Adoptamos Rust por su seguridad y estamos viendo una reducción de 1000 veces en la densidad de vulnerabilidad de seguridad de la memoria en comparación con el código C y C++ de Android. Pero la mayor sorpresa fue el impacto de Rust en la entrega de software», dijo Jeff Vander Stoep de Google. «Dado que los cambios de Rust tienen una tasa de reversión 4 veces menor y dedican un 25% menos de tiempo a la revisión del código, el camino más seguro ahora también es el más rápido».
El desarrollo se produce poco más de un año después de que el gigante tecnológico revelara que su transición a Rust provocó una disminución de las vulnerabilidades de seguridad de la memoria de 223 en 2019 a menos de 50 en 2024.
La compañía señaló que el código Rust requiere menos revisiones, lo que requiere alrededor de un 20% menos de revisiones que sus contrapartes C++, y ha contribuido a una menor tasa de reversión, mejorando así el rendimiento general del desarrollo.
Google también dijo que planea expandir las «ventajas de seguridad y productividad» de Rust a otras partes del ecosistema de Android, incluido el kernel, el firmware y aplicaciones críticas propias como Near Presence, Message Layer Security (MLS) y Chromium, cuyos analizadores para PNG, JSON y fuentes web han sido reemplazados por implementaciones seguras para la memoria en Rust.
Además, ha enfatizado la necesidad de un enfoque de defensa en profundidad, afirmando que las características de seguridad de la memoria integradas del lenguaje de programación son solo una parte de una estrategia integral de seguridad de la memoria.
Como ejemplo, Google destacó su descubrimiento de una vulnerabilidad de seguridad de la memoria (CVE-2025-48530, puntuación CVSS: 8.1) en CrabbyAVIF, una implementación de analizador/decodificador AVIF (archivo de imagen AV1) en Rust inseguro, que podría haber resultado en la ejecución remota de código. Si bien la falla de desbordamiento del búfer lineal nunca se hizo pública, Google la parchó como parte de su actualización de seguridad de Android para agosto de 2025.
Un análisis más detallado de la vulnerabilidad «casi accidental» encontró que Scudo, un asignador de memoria dinámico en modo de usuario en Android que está diseñado para combatir vulnerabilidades relacionadas con el montón, como el desbordamiento del búfer, el uso después de la liberación y la doble liberación, la convirtió en no explotable, sin sacrificar el rendimiento.
Al enfatizar que el inseguro Rust «ya es bastante seguro», Google dijo que la densidad de vulnerabilidad es significativamente menor en comparación con C y C++, y agregó que la incorporación de un bloque de código «inseguro» en Rust no desactiva automáticamente las comprobaciones de seguridad del lenguaje de programación.
«Si bien C y C++ persistirán, y los mecanismos de seguridad tanto del software como del hardware siguen siendo críticos para la defensa en capas, la transición a Rust es un enfoque diferente donde el camino más seguro también es demostrablemente más eficiente», dijo.
