如果被利用，这些漏洞可能允许攻击者未经授权访问敏感信息或通常会导致问题
谷歌团队的研究人员 零计划揭幕 最近通过一篇博文， 发现18个漏洞 检测数据 en 三星调制解调器 Exynos 5G/LTE/GSM。
根据谷歌零项目代表的说法，经过一些额外的研究，熟练的攻击者将能够快速准备一个有效的漏洞，允许在无线模块级别获得远程控制，只知道受害者的电话号码。 攻击可以在用户不知情的情况下进行，不需要用户采取任何行动，这使得一些检测到的漏洞变得至关重要。
该 四个最危险的漏洞 （CVE-2023-24033） 允许在带芯片级执行代码 基地 通过操纵外部互联网网络.
在 2022 年底和 2023 年初，零项目报告了三星半导体生产的 Exynos 调制解调器中的 2023 个零日漏洞。 这 24033 个漏洞中最严重的四个（CVE-XNUMX-XNUMX 和其他三个尚未分配 CVE-ID 的漏洞）允许从 Internet 到基带远程执行代码。
在剩下的 14 个漏洞中， 有人提到 严重程度较低， 因为攻击需要访问移动网络运营商的基础设施或本地访问用户的设备。 除了 CVE-2023-24033 漏洞（建议在 Google Pixel 设备的 XNUMX 月固件更新中修复）外，其他问题仍未解决。
到目前为止，关于 CVE-2023-24033 漏洞的唯一已知信息是它是由会话描述协议 (SDP) 消息中传输的 accept-type 属性的格式检查不正确引起的。
Project Zero 的测试证实，这四个漏洞允许攻击者在基带级别远程破坏手机而无需用户交互，并且只需要攻击者知道受害者的电话号码。 通过有限的额外研究和开发，我们相信熟练的攻击者可以快速创建一个操作漏洞来悄悄地远程破坏受影响的设备。
这些漏洞出现在配备三星 Exynos 芯片的设备中，s根据为设备分配芯片组的公共网站信息，受影响的产品可能包括：
- 三星移动设备，包括S22、M33、M13、M12、A71、A53、A33、A21s、A13、A12和A04系列；
- vivo移动设备，包括S16、S15、S6、X70、X60、X30系列；
- Google 的 Pixel 6 和 Pixel 7 系列设备； 和
- 任何使用 Exynos Auto T5123 芯片组的车辆。
在制造商修复漏洞之前， 建议 给用户 禁用 VoLTE 支持 （LTE 语音）和 Wi-Fi 通话功能在设置中。 禁用这些设置将消除利用这些漏洞的风险。
由于漏洞的危险 以及漏洞迅速出现的现实主义， 谷歌决定破例处理4个最危险的问题 推迟披露有关问题性质的信息。
一如既往，我们鼓励最终用户尽快更新他们的设备，以确保他们运行的是修复已公开和未公开安全漏洞的最新版本。
对于其余漏洞，将在通知制造商 90 天后遵循详细披露时间表（有关漏洞 CVE-2023-26072、CVE-2023-26073、CVE-2023-26074、CVE-2023-26075 和CVE-2023-26076 -9-90 现已在错误跟踪系统中可用，对于剩余的 XNUMX 个问题，XNUMX 天的等待时间尚未到期）。
报告的漏洞 CVE-2023-2607* 是由解码 NrmmMsgCodec 和 NrSmPcoCodec 编解码器中的某些选项和列表时的缓冲区溢出引起的。
最后， 如果您有兴趣了解更多有关它的信息 您可以查看详细信息 在下面的链接中。