如果被利用，這些漏洞可能允許攻擊者未經授權訪問敏感信息或通常會導致問題
谷歌團隊的研究人員 零計劃揭幕 最近通過一篇博文， 發現18個漏洞 檢測到 en 三星調製解調器 Exynos 5G/LTE/GSM。
根據谷歌零項目代表的說法，經過一些額外的研究，熟練的攻擊者將能夠快速準備一個有效的漏洞，允許在無線模塊級別獲得遠程控制，只知道受害者的電話號碼。 攻擊可以在用戶不知情的情況下進行，不需要用戶採取任何行動，這使得一些檢測到的漏洞變得至關重要。
該 四個最危險的漏洞 （CVE-2023-24033） 允許在帶芯片級執行代碼 基地 通過操縱外部互聯網網絡.
在 2022 年底和 2023 年初，零項目報告了三星半導體生產的 Exynos 調製解調器中的 2023 個零日漏洞。 這 24033 個漏洞中最嚴重的四個（CVE-XNUMX-XNUMX 和其他三個尚未分配 CVE-ID 的漏洞）允許從 Internet 到基帶遠程執行代碼。
在剩下的 14 個漏洞中， 有人提到 嚴重程度較低， 因為攻擊需要訪問移動網絡運營商的基礎設施或本地訪問用戶的設備。 除了 CVE-2023-24033 漏洞（建議在 Google Pixel 設備的 XNUMX 月固件更新中修復）外，其他問題仍未解決。
到目前為止，關於 CVE-2023-24033 漏洞的唯一已知信息是它是由會話描述協議 (SDP) 消息中傳輸的 accept-type 屬性的格式檢查不正確引起的。
Project Zero 的測試證實，這四個漏洞允許攻擊者在基帶級別遠程破壞手機而無需用戶交互，並且只需要攻擊者知道受害者的電話號碼。 通過有限的額外研究和開發，我們相信熟練的攻擊者可以快速創建一個操作漏洞來悄悄地遠程破壞受影響的設備。
這些漏洞出現在配備三星 Exynos 芯片的設備中，s根據為設備分配芯片組的公共網站信息，受影響的產品可能包括：
- 三星移動設備，包括S22、M33、M13、M12、A71、A53、A33、A21s、A13、A12和A04系列；
- vivo移動設備，包括S16、S15、S6、X70、X60、X30系列；
- Google 的 Pixel 6 和 Pixel 7 系列設備； 和
- 任何使用 Exynos Auto T5123 芯片組的車輛。
在製造商修復漏洞之前， 建議 給用戶 禁用 VoLTE 支持 （LTE 語音）和 Wi-Fi 通話功能在設置中。 禁用這些設置將消除利用這些漏洞的風險。
由於漏洞的危險 以及漏洞迅速出現的現實主義， 谷歌決定破例處理4個最危險的問題 推遲披露有關問題性質的信息。
一如既往，我們鼓勵最終用戶盡快更新他們的設備，以確保他們運行的是修復已公開和未公開安全漏洞的最新版本。
對於其餘漏洞，將在通知製造商 90 天后遵循詳細披露時間表（有關漏洞 CVE-2023-26072、CVE-2023-26073、CVE-2023-26074、CVE-2023-26075 和CVE-2023-26076 -9-90 現已在錯誤跟踪系統中可用，對於剩餘的 XNUMX 個問題，XNUMX 天的等待時間尚未到期）。
報告的漏洞 CVE-2023-2607* 是由解碼 NrmmMsgCodec 和 NrSmPcoCodec 編解碼器中的某些選項和列表時的緩衝區溢出引起的。
最後， 如果您有興趣了解更多信息 您可以查看詳細信息 在下面的鏈接中。