Pokud jsou tyto chyby zneužity, mohou útočníkům umožnit získat neoprávněný přístup k citlivým informacím nebo obecně způsobit problémy
Výzkumníci z týmu Google Projekt Zero, odhalen nedávno prostřednictvím příspěvku na blogu, odhalení 18 zranitelností zjištěno en modemy samsung Exynos 5G/LTE/GSM.
Podle zástupců Google Project Zero budou zkušení útočníci po nějakém dalším výzkumu schopni rychle připravit funkční exploit, který umožní získat dálkové ovládání na úrovni bezdrátového modulu, přičemž budou znát pouze telefonní číslo oběti. Útok lze provést, aniž by si toho byl uživatel vědom, a nevyžaduje od uživatele žádnou akci, což činí některé ze zjištěných zranitelností kritickými.
the čtyři nejnebezpečnější zranitelnosti (CVE-2023-24033) povolit spuštění kódu na úrovni čipu pásma základna prostřednictvím manipulace s externími internetovými sítěmi.
Koncem roku 2022 a začátkem roku 2023 ohlásil Project Zero osmnáct zranitelností zero-day v modemech Exynos vyrobených společností Samsung Semiconductor. Čtyři nejzávažnější z těchto osmnácti zranitelností (CVE-2023-24033 a tři další zranitelnosti, kterým dosud nebylo přiděleno CVE-ID) umožňovaly vzdálené spuštění kódu z internetu do základního pásma.
Ze zbývajících 14 zranitelností, to je zmíněno mají nižší stupeň závažnosti, protože útok vyžaduje přístup k infrastruktuře operátora mobilní sítě nebo místní přístup k zařízení uživatele. S výjimkou zranitelnosti CVE-2023-24033, jejíž odstranění bylo navrženo v březnové aktualizaci firmwaru pro zařízení Google Pixel, zůstávají problémy nevyřešeny.
O zranitelnosti CVE-2023-24033 je zatím známo pouze to, že je způsobena nesprávnou kontrolou formátu atributu accept-type přenášeného ve zprávách SDP (Session Description Protocol).
Testování Project Zero potvrzuje, že tyto čtyři zranitelnosti umožňují útočníkovi vzdáleně kompromitovat telefon na úrovni základního pásma bez zásahu uživatele a pouze vyžaduje, aby útočník znal telefonní číslo oběti. S omezeným dodatečným výzkumem a vývojem věříme, že zkušení útočníci by mohli rychle vytvořit operační exploit k tichému a vzdálenému kompromitování postižených zařízení.
Zranitelnost se projevuje v zařízeních vybavených čipy Samsung Exynos, sNa základě informací z veřejných webů, které přidělují čipové sady zařízením, budou pravděpodobně ovlivněné produkty zahrnovat:
- mobilní zařízení Samsung, včetně řad S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 a A04;
- mobilní zařízení Vivo, včetně řad S16, S15, S6, X70, X60 a X30;
- zařízení řady Pixel 6 a Pixel 7 společnosti Google; a
- jakékoli vozidlo využívající čipovou sadu Exynos Auto T5123.
Dokud výrobci neopraví zranitelnosti, to se doporučuje uživatelům které deaktivují podporu VoLTE (Voice-over-LTE) a funkce Wi-Fi volání v nastavení. Zakázáním těchto nastavení se vyloučí riziko zneužití těchto chyb zabezpečení.
Kvůli nebezpečí zranitelnosti a realismus rychlého objevení se exploitu, Google se rozhodl udělat výjimku u 4 nejnebezpečnějších problémů a odložení zveřejnění informací o povaze problémů.
Jako vždy doporučujeme koncovým uživatelům, aby aktualizovali svá zařízení co nejdříve, aby měli jistotu, že používají nejnovější sestavení, která opravují odhalené a nezveřejněné chyby zabezpečení.
U zbývajících zranitelností bude plán zveřejnění podrobností dodržován 90 dní po oznámení výrobci (informace o zranitelnosti CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 a CVE-2023-26076 -9-90 je nyní k dispozici v systému sledování chyb a u zbývajících XNUMX problémů XNUMXdenní čekací doba ještě nevypršela).
Hlášené chyby zabezpečení CVE-2023-2607* jsou způsobeny přetečením vyrovnávací paměti při dekódování určitých možností a seznamů v kodecích NrmmMsgCodec a NrSmPcoCodec.
Konečně, pokud máte zájem o tom vědět více můžete zkontrolovat podrobnosti Na následujícím odkazu.