Jos näitä puutteita hyödynnetään, hyökkääjät voivat päästä luvattomasti arkaluontoisiin tietoihin tai aiheuttaa yleensä ongelmia
Google-tiimin tutkijat Project Zero, paljastettu äskettäin blogikirjoituksen kautta 18 haavoittuvuuden löytäminen havaittu en Samsung modeemit Exynos 5G/LTE/GSM.
Google Project Zero -edustajien mukaan ammattitaitoiset hyökkääjät pystyvät muutaman lisätutkimuksen jälkeen valmistamaan nopeasti toimivan hyväksikäytön, joka mahdollistaa etähallinnan saamisen langattoman moduulin tasolla, tietäen vain uhrin puhelinnumeron. Hyökkäys voidaan suorittaa ilman, että käyttäjä on tietoinen siitä, eikä se vaadi käyttäjältä mitään toimenpiteitä, mikä tekee joistakin havaituista haavoittuvuuksista kriittisiä.
Las neljä vaarallisinta haavoittuvuutta (CVE-2023-24033) salli koodin suorittamisen kaistan sirutasolla pohja ulkoisia Internet-verkkoja manipuloimalla.
Vuoden 2022 lopulla ja vuoden 2023 alussa Project Zero ilmoitti kahdeksantoista nollapäivän haavoittuvuudesta Samsung Semiconductorin valmistamissa Exynos-modeemeissa. Neljä vakainta näistä kahdeksastatoista haavoittuvuudesta (CVE-2023-24033 ja kolme muuta haavoittuvuutta, joille ei ole vielä määritetty CVE-ID:tä) mahdollistivat koodin etäsuorittamisen Internetistä kantataajuudelle.
Jäljellä olevista 14 haavoittuvuudesta mainitaan se on matalampi vakavuusaste, koska hyökkäys edellyttää pääsyä matkapuhelinverkko-operaattorin infrastruktuuriin tai paikallista pääsyä käyttäjän laitteelle. Lukuun ottamatta CVE-2023-24033-haavoittuvuutta, joka ehdotettiin korjattavaksi maaliskuun Google Pixel -laitteiden laiteohjelmistopäivityksessä, ongelmat ovat edelleen ratkaisematta.
Toistaiseksi ainoa tiedossa CVE-2023-24033-haavoittuvuudesta on se, että se johtuu SDP (Session Description Protocol) -sanomissa lähetetyn accept-type-attribuutin virheellisestä muototarkistuksesta.
Project Zero -testaus vahvistaa, että nämä neljä haavoittuvuutta antavat hyökkääjälle mahdollisuuden murtautua puhelimeen etäyhteydellä kantataajuudella ilman käyttäjän toimenpiteitä, ja hyökkääjän on tiedettävä vain uhrin puhelinnumero. Rajoitetun lisätutkimuksen ja -kehityksen ansiosta uskomme, että taitavat hyökkääjät voivat nopeasti luoda toiminnallisen hyväksikäytön vaarantaakseen asianomaiset laitteet äänettömästi ja etäältä.
Haavoittuvuudet ilmenevät laitteissa, joissa on Samsung Exynos -sirut, sLaitteille piirisarjoja määrittäviltä julkisilta verkkosivustoilta saatujen tietojen perusteella kyseisiä tuotteita ovat todennäköisesti seuraavat:
- Samsungin mobiililaitteet, mukaan lukien S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 ja A04-sarjat;
- Vivo-mobiililaitteet, mukaan lukien S16, S15, S6, X70, X60 ja X30-sarjat;
- Googlen Pixel 6- ja Pixel 7 -sarjan laitteet; ja
- kaikki Exynos Auto T5123 -piirisarjaa käyttävät ajoneuvot.
Kunnes valmistajat korjaavat haavoittuvuudet, se on suositeltavaa käyttäjille jotka poistavat VoLTE-tuen käytöstä (Voice-over-LTE) ja Wi-Fi-puhelutoiminto asetuksissa. Näiden asetusten poistaminen käytöstä poistaa näiden haavoittuvuuksien hyödyntämisen riskin.
Haavoittuvuuksien vaaran vuoksi ja hyväksikäytön nopean ilmaantumisen realistisuus, Google päätti tehdä poikkeuksen neljän vaarallisimman ongelman osalta sekä lykätä ongelmien luonnetta koskevien tietojen julkistamista.
Kuten aina, suosittelemme loppukäyttäjiä päivittämään laitteensa mahdollisimman pian varmistaakseen, että he käyttävät uusimpia koontiversioita, jotka korjaavat julkistetut ja julkistamattomat tietoturva-aukkoja.
Muiden haavoittuvuuksien osalta yksityiskohtien julkistamisaikataulua noudatetaan 90 päivän kuluttua siitä, kun valmistajalle on ilmoitettu (tiedot haavoittuvuuksista CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 ja CVE-2023-26076 -9-90 on nyt saatavilla virheenseurantajärjestelmässä, ja jäljellä olevien XNUMX ongelman osalta XNUMX päivän odotusaika ei ole vielä umpeutunut).
Raportoidut haavoittuvuudet CVE-2023-2607* johtuvat puskurin ylivuodosta, kun dekoodataan tiettyjä NrmmMsgCodec- ja NrSmPcoCodec-koodekkien vaihtoehtoja ja luetteloita.
lopuksi, jos olet kiinnostunut tietämään siitä lisää voit tarkistaa yksityiskohdat Seuraavassa linkissä.