Pokud jsou tyto chyby zneužity, mohou útočníkům umožnit získat neoprávněný přístup k citlivým informacím nebo obecně způsobit problémy
Výzkumníci z týmu Google Project Zero nedávno prostřednictvím blogového příspěvku oznámili objev 18 zranitelností detekovaných v modemech Samsung Exynos 5G/LTE/GSM .
Podle zástupců projektu Google Project Zero mohou zkušení útočníci po dalším výzkumu rychle připravit funkční exploit, který jim umožní vzdáleně získat kontrolu na úrovni bezdrátového modulu, přičemž znají pouze telefonní číslo oběti. Útok může být proveden bez povšimnutí uživatele a nevyžaduje žádnou akci z jeho strany , což některé z detekovaných zranitelností činí kritickými.
Čtyři nejnebezpečnější zranitelnosti (CVE-2023-24033) umožňují spuštění kódu na úrovni čipu v základním pásmu manipulací s externími internetovými sítěmi.
Koncem roku 2022 a začátkem roku 2023 ohlásil Project Zero osmnáct zranitelností zero-day v modemech Exynos vyrobených společností Samsung Semiconductor. Čtyři nejzávažnější z těchto osmnácti zranitelností (CVE-2023-24033 a tři další zranitelnosti, kterým dosud nebylo přiděleno CVE-ID) umožňovaly vzdálené spuštění kódu z internetu do základního pásma.
Ze zbývajících 14 zranitelností jsou uvedené považovány za méně závažné, protože útok vyžaduje přístup k infrastruktuře mobilního operátora nebo lokální přístup k zařízení uživatele. S výjimkou CVE-2023-24033, pro kterou byla oprava zahrnuta v březnové aktualizaci firmwaru pro zařízení Google Pixel, zůstávají problémy nevyřešeny.
O zranitelnosti CVE-2023-24033 je zatím známo pouze to, že je způsobena nesprávnou kontrolou formátu atributu accept-type přenášeného ve zprávách SDP (Session Description Protocol).
Testování Project Zero potvrzuje, že tyto čtyři zranitelnosti umožňují útočníkovi vzdáleně kompromitovat telefon na úrovni základního pásma bez zásahu uživatele a pouze vyžaduje, aby útočník znal telefonní číslo oběti. S omezeným dodatečným výzkumem a vývojem věříme, že zkušení útočníci by mohli rychle vytvořit operační exploit k tichému a vzdálenému kompromitování postižených zařízení.
Zranitelnosti se objevují v zařízeních vybavených čipy Samsung Exynos. Podle informací z veřejně dostupných webových stránek, které mapují čipsety na zařízení, mezi postižené produkty pravděpodobně patří:
- mobilní zařízení Samsung, včetně řad S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 a A04;
- mobilní zařízení Vivo, včetně řad S16, S15, S6, X70, X60 a X30;
- zařízení řady Pixel 6 a Pixel 7 společnosti Google; a
- jakékoli vozidlo využívající čipovou sadu Exynos Auto T5123.
Dokud výrobci neopraví zranitelnosti, uživatelům se doporučuje , aby si v nastavení vypnuli podporu VoLTE (Voice-over-LTE) a volání přes Wi-Fi. Vypnutím těchto nastavení se eliminuje riziko zneužití těchto zranitelností.
Vzhledem k nebezpečí zranitelností a realitě rychlého vzniku zneužití se Google rozhodl udělat výjimku pro 4 nejnebezpečnější problémy a odložit zveřejnění informací o povaze těchto problémů.
Jako vždy doporučujeme koncovým uživatelům, aby aktualizovali svá zařízení co nejdříve, aby měli jistotu, že používají nejnovější sestavení, která opravují odhalené a nezveřejněné chyby zabezpečení.
U zbývajících zranitelností bude plán zveřejnění podrobností dodržován 90 dní po oznámení výrobci (informace o zranitelnosti CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 a CVE-2023-26076 -9-90 je nyní k dispozici v systému sledování chyb a u zbývajících XNUMX problémů XNUMXdenní čekací doba ještě nevypršela).
Hlášené chyby zabezpečení CVE-2023-2607* jsou způsobeny přetečením vyrovnávací paměti při dekódování určitých možností a seznamů v kodecích NrmmMsgCodec a NrSmPcoCodec.
A konečně, pokud máte zájem dozvědět se více, podrobnosti naleznete na následujícím odkazu.