U zbuluan dobësi të shumta në modemet Exynos

Studiues nga ekipi i Google Projekti Zero, u zbulua kohët e fundit përmes një postimi në blog, zbulimi i 18 dobësive zbuluar en modemet samsung Exynos 5G/LTE/GSM.

Sipas përfaqësuesve të Google Project Zero, pas disa kërkimeve shtesë, sulmuesit e aftë do të jenë në gjendje të përgatisin shpejt një shfrytëzim pune që lejon kontrollin në distancë të fitohet në nivelin e modulit wireless, duke ditur vetëm numrin e telefonit të viktimës. Sulmi mund të kryhet pa e ditur përdoruesi dhe nuk kërkon ndonjë veprim nga përdoruesi, gjë që i bën kritike disa nga dobësitë e zbuluara.

L katër dobësitë më të rrezikshme (CVE-2023-24033) lejojnë ekzekutimin e kodit në nivelin e çipit të brezit bazë nëpërmjet manipulimit të rrjeteve të jashtme të internetit.

Në fund të vitit 2022 dhe në fillim të 2023, Project Zero raportoi tetëmbëdhjetë dobësi zero-ditore në modemet Exynos të prodhuara nga Samsung Semiconductor. Katër dobësitë më të rënda nga këto tetëmbëdhjetë dobësi (CVE-2023-24033 dhe tre dobësi të tjera që nuk u janë caktuar ende CVE-ID) lejuan ekzekutimin e kodit në distancë nga Interneti në brezin bazë.

Nga 14 dobësitë e mbetura, përmendet që kanë një nivel më të ulët të ashpërsisë, pasi sulmi kërkon qasje në infrastrukturën e operatorit të rrjetit celular ose qasje lokale në pajisjen e përdoruesit. Me përjashtim të cenueshmërisë CVE-2023-24033, e cila u propozua të rregullohej në përditësimin e firmuerit të marsit për pajisjet Google Pixel, çështjet mbeten të pazgjidhura.

Deri më tani, e vetmja gjë që dihet për cenueshmërinë CVE-2023-24033 është se ajo është shkaktuar nga kontrollimi i pasaktë i formatit të atributit të tipit të pranimit të transmetuar në mesazhet e Protokollit të Përshkrimit të Sesionit (SDP).

Testimi nga Project Zero konfirmon se këto katër dobësi lejojnë një sulmues të komprometojë nga distanca një telefon në nivelin e brezit bazë pa ndërveprim të përdoruesit dhe kërkon vetëm që sulmuesi të dijë numrin e telefonit të viktimës. Me kërkime dhe zhvillime të kufizuara shtesë, ne besojmë se sulmuesit e aftë mund të krijojnë shpejt një shfrytëzim operacional për të komprometuar në heshtje dhe në distancë pajisjet e prekura.

Dobësitë shfaqen në pajisjet e pajisura me çipa Samsung Exynos, sBazuar në informacionin nga faqet e internetit publike që caktojnë çipa për pajisjet, produktet e prekura ka të ngjarë të përfshijnë:

• Pajisjet celulare Samsung, duke përfshirë seritë S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 dhe A04;
• Pajisjet celulare Vivo, duke përfshirë seritë S16, S15, S6, X70, X60 dhe X30;
• Seritë e pajisjeve Pixel 6 dhe Pixel 7 të Google; dhe
• çdo automjet që përdor chipset Exynos Auto T5123.

Derisa prodhuesit të rregullojnë dobësitë, rekomandohet për përdoruesit që çaktivizon mbështetjen e VoLTE (Voice-over-LTE) dhe funksioni i thirrjes Wi-Fi në cilësimet. Çaktivizimi i këtyre cilësimeve do të eliminojë rrezikun e shfrytëzimit të këtyre dobësive.

Për shkak të rrezikut të dobësive dhe realizmi i shfaqjes së shpejtë të një shfrytëzimi, Google vendosi të bëjë një përjashtim për 4 problemet më të rrezikshme dhe shtyrjen e publikimit të informacionit për natyrën e problemeve.

 Si gjithmonë, ne inkurajojmë përdoruesit fundorë që të përditësojnë pajisjet e tyre sa më shpejt të jetë e mundur për t'u siguruar që po ekzekutojnë ndërtimet më të fundit që rregullojnë dobësitë e sigurisë të zbuluara dhe të pazbuluara.

Për pjesën tjetër të dobësive, orari i zbulimit të detajeve do të ndiqet 90 ditë pas njoftimit të prodhuesit (informacion mbi dobësitë CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 CVE-2023-26076 -9-90 është tani i disponueshëm në sistemin e gjurmimit të gabimeve dhe për XNUMX çështjet e mbetura, pritja prej XNUMX ditësh nuk ka skaduar ende).

Dobësitë e raportuara CVE-2023-2607* shkaktohen nga një tejmbushje buferi kur deshifrohen disa opsione dhe lista në kodekët NrmmMsgCodec dhe NrSmPcoCodec.

Së fundi, nëse jeni të interesuar të dini më shumë për të ju mund të kontrolloni detajet Në lidhjen vijuese.