Si s'exploten, aquestes falles poden permetre als atacants obtenir accés no autoritzat a informació confidencial o, en general, causar problemes
Els investigadors de l'equip de Google Project Zero, van donar a conèixer fa poc mitjançant una publicació de bloc, el descobriment de 18 vulnerabilitats detectades en els mòdems Samsung Exynos 5G/LTE/GSM.
Segons els representants de Google Project Zero, després d'una mica de recerca addicional, els atacants qualificats podran preparar ràpidament un exploit funcional que permeti obtenir el control de manera remota a nivell del mòdul sense fil, coneixent només el número de telèfon de la víctima. L'atac es pot dur a terme sense que l'usuari ho percebi i no requereix que faci cap acció, el que torna critiques algunes de les vulnerabilitats detectades.
Els quatre vulnerabilitats més perilloses (CVE-2023-24033) permeten l'execució de codi a nivell de xip de banda base mitjançant la manipulació de xarxes externes d'Internet.
A finals del 2022 i principis del 2023, Project Zero va informar divuit vulnerabilitats de dia zero en els mòdems Exynos produïts per Samsung Semiconductor. Les quatre més greus d'aquestes divuit vulnerabilitats (CVE-2023-24033 i tres vulnerabilitats més a les quals encara no se'ls han assignat CVE-ID) van permetre l'execució remota de codi d'Internet a banda base.
De les 14 vulnerabilitats restants, s'esmenta que tenen un nivell de gravetat menor, ja que l'atac requereix accés a la infraestructura de l'operador de xarxa mòbil o accés local al dispositiu de l'usuari. Amb l'excepció de la vulnerabilitat CVE-2023-24033, la solució de la qual es va proposar en l'actualització de microprogramari de març per als dispositius Google Pixel, els problemes continuen sense solucionar-se.
Fins ara, l'única cosa que se sap sobre la vulnerabilitat CVE-2023-24033 és que està causada per una verificació incorrecta del format de l'atribut «accept-type» transmès als missatges SDP (Session Description Protocol).
Les proves realitzades per Project Zero confirmen que aquestes quatre vulnerabilitats permeten que un atacant comprometi remotament un telèfon a nivell de banda base sense interacció de l'usuari, i només requereix que l'atacant conegui el número de telèfon de la víctima. Amb investigació i desenvolupament addicionals limitats, creiem que els atacants experts podrien crear ràpidament un exploit operatiu per comprometre els dispositius afectats de manera silenciosa i remota.
Les vulnerabilitats es manifesten en dispositius equipats amb xips Samsung Exynos, ssegons la informació dels llocs web públics que assignen conjunts de xips a dispositius, és probable que els productes afectats incloguin:
- Dispositius mòbils de Samsung, inclosos els de les sèries S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 i A04;
- Dispositius mòbils de Viu, inclosos els de les sèries S16, S15, S6, X70, X60 i X30;
- Les sèries de dispositius Pixel 6 i Pixel 7 de Google; i
- qualsevol vehicle que faci servir el chipset Exynos Auto T5123.
Fins que els fabricants solucionin les vulnerabilitats, es recomana als usuaris que deshabilitin la compatibilitat amb VoLTE (Voice-over-LTE) i la funció de trucada a través de Wi-Fi a la configuració. Desactivar aquestes configuracions eliminarà el risc dexplotació daquestes vulnerabilitats.
A causa del perill de les vulnerabilitats i al realisme de la ràpida aparició d'un exploit, Google va decidir fer una excepció per als 4 problemes més perillosos i posposar la divulgació dinformació sobre la naturalesa dels problemes.
Com sempre, encoratgem els usuaris finals que actualitzin els seus dispositius com més aviat millor per assegurar-se que estan executant les últimes compilacions que solucionen les vulnerabilitats de seguretat revelades i no revelades.
Per a la resta de vulnerabilitats se seguirà el calendari de divulgació de detalls 90 dies després de la notificació al fabricant (informació sobre vulnerabilitats CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 i CVE -2023-26076 ja està disponible al sistema de seguiment d'errors i per als 9 problemes restants, l'espera de 90 dies encara no ha vençut).
Les vulnerabilitats reportades CVE-2023-2607* són causades per un desbordament de memòria intermèdia en descodificar certes opcions i llistes als còdecs NrmmMsgCodec i NrSmPcoCodec.
Finalment, si estàs interessat en poder conèixer més a l'respecte pots consultar els detalls en el següent enllaç.