Jika dieksploitasi, kelemahan ini boleh membenarkan penyerang mendapat akses tanpa kebenaran kepada maklumat sensitif atau secara amnya menyebabkan masalah
Penyelidik daripada pasukan Google Projek Zero, didedahkan baru-baru ini melalui catatan blog, the penemuan 18 kelemahan dikesan en modem Samsung Exynos 5G/LTE/GSM.
Menurut wakil Google Project Zero, selepas beberapa penyelidikan tambahan, penyerang mahir akan dapat dengan cepat menyediakan eksploitasi kerja yang membolehkan kawalan jauh diperoleh pada tahap modul wayarles, hanya mengetahui nombor telefon mangsa. Serangan itu boleh dilakukan tanpa disedari oleh pengguna dan tidak memerlukan sebarang tindakan daripada pengguna, yang menjadikan beberapa kelemahan yang dikesan kritikal.
yang empat kelemahan yang paling berbahaya (CVE-2023-24033) benarkan pelaksanaan kod pada tahap cip jalur asas melalui manipulasi rangkaian Internet luaran.
Pada akhir 2022 dan awal 2023, Project Zero melaporkan lapan belas kelemahan sifar hari dalam modem Exynos yang dihasilkan oleh Samsung Semiconductor. Empat kelemahan yang paling teruk daripada lapan belas kelemahan ini (CVE-2023-24033 dan tiga kelemahan lain yang masih belum diberikan CVE-ID) membenarkan pelaksanaan kod jauh dari Internet ke jalur asas.
Daripada baki 14 kelemahan, disebutkan bahawa mempunyai tahap keterukan yang lebih rendah, memandangkan serangan itu memerlukan akses kepada infrastruktur pengendali rangkaian mudah alih atau akses tempatan kepada peranti pengguna. Dengan pengecualian kerentanan CVE-2023-24033, yang dicadangkan untuk diperbaiki dalam kemas kini perisian tegar Mac untuk peranti Google Pixel, isu tersebut masih tidak dapat diselesaikan.
Setakat ini, satu-satunya perkara yang diketahui tentang kerentanan CVE-2023-24033 ialah ia disebabkan oleh penyemakan format yang salah bagi atribut jenis terima yang dihantar dalam mesej Session Description Protocol (SDP).
Ujian oleh Project Zero mengesahkan bahawa empat kelemahan ini membolehkan penyerang menjejaskan telefon dari jauh pada tahap jalur asas tanpa interaksi pengguna, dan hanya memerlukan penyerang mengetahui nombor telefon mangsa. Dengan penyelidikan dan pembangunan tambahan yang terhad, kami percaya penyerang mahir boleh mencipta eksploitasi operasi dengan cepat untuk menjejaskan peranti yang terjejas secara senyap dan jauh.
Kelemahan nyata dalam peranti yang dilengkapi dengan cip Samsung Exynos, sBerdasarkan maklumat daripada tapak web awam yang memperuntukkan set cip pada peranti, produk yang terjejas mungkin termasuk:
- Peranti mudah alih Samsung, termasuk siri S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 dan A04;
- Peranti mudah alih Vivo, termasuk siri S16, S15, S6, X70, X60 dan X30;
- Peranti Pixel 6 dan Pixel 7 siri Google; dan
- mana-mana kenderaan yang menggunakan cipset Exynos Auto T5123.
Sehingga pengilang membetulkan kelemahan, disyorkan kepada pengguna yang melumpuhkan sokongan VoLTE (Voice-over-LTE) dan fungsi panggilan Wi-Fi dalam tetapan. Melumpuhkan tetapan ini akan menghapuskan risiko mengeksploitasi kelemahan ini.
Disebabkan oleh bahaya kelemahan dan realisme penampilan pantas eksploitasi, Google memutuskan untuk membuat pengecualian untuk 4 masalah paling berbahaya dan menangguhkan pendedahan maklumat tentang sifat masalah.
Seperti biasa, kami menggalakkan pengguna akhir untuk mengemas kini peranti mereka secepat mungkin untuk memastikan mereka menjalankan binaan terbaharu yang membetulkan kelemahan keselamatan yang didedahkan dan tidak didedahkan.
Untuk kelemahan yang lain, jadual pendedahan butiran akan diikuti 90 hari selepas pemberitahuan kepada pengilang (maklumat tentang kelemahan CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 dan CVE-2023-26076 -9-90 kini tersedia dalam sistem penjejakan pepijat dan untuk baki XNUMX isu, penantian selama XNUMX hari belum tamat tempoh lagi).
Kerentanan CVE-2023-2607* yang dilaporkan disebabkan oleh limpahan penimbal apabila menyahkod pilihan dan senarai tertentu dalam codec NrmmMsgCodec dan NrSmPcoCodec.
Akhirnya, sekiranya anda berminat untuk mengetahui lebih lanjut mengenainya anda boleh menyemak butirannya Dalam pautan berikut.