Számos népszerű, Samsung által gyártott Exynos chippel rendelkező Android telefon tartalmaz egy biztonsági rést, amely a hackereknek félelmetes mértékben irányíthatja az eszközöket.Project Zero, a Google biztonsági elemzőiből álló csapat, amelynek célja, hogy megvédje az embereket a célzott támadásoktól, tizennyolc 0 napos biztonsági rést talált az Exynos modemekben. A 0 napos sebezhetőség olyan hiba, amely korábban ismeretlen volt a termék szállítója számára.
Négy biztonsági rés révén a hackerek könnyen hozzáférhetnek az érintett telefonokhoz
A hibákat 2022 vége és 2023 eleje között fedezték fel, és négyet lehetővé tették az internet-alapsáv távoli kódvégrehajtást. A támadónak csak valaki telefonszámára van szüksége ahhoz, hogy kihasználhassa ezt a sebezhetőséget, és csendben és távolról kompromittálja az áldozat telefonját.
A Project Zero által végzett tesztek megerősítik, hogy ez a négy sebezhetőség lehetővé teszi a támadó számára, hogy távolról feltörje a telefont alapsávi szinten. felhasználói beavatkozás nélkül, és csak azt kell megkövetelni, hogy a támadó ismerje az áldozat telefonszámát. Korlátozott mennyiségű további kutatással és fejlesztéssel úgy gondoljuk, hogy a képzett támadók gyorsan képesek lennének olyan operatív kizsákmányolást létrehozni, amellyel csendben és távolról is feltörhetik az érintett eszközöket.”– Tim Willis, Project Zero
A fennmaradó kapcsolódó sebezhetőségek nem olyan súlyosak, és rosszindulatú mobilhálózat-üzemeltetőt vagy közvetlen hozzáférést igényel egy eszköz.
Érintett okostelefonok és órák
A Samsung ismeri az Exynos hibáját
A a Samsung webhelyén a biztonsági rések az Exynos Modem 5123 és Exynos Modem 5300, valamint az Exynos 980 és Exynos 1080 lapkakészletek (a 9to5Google-n keresztül). Ezek a chipek a a következő eszközök: Samsung Galaxy S22 (csak az Egyesült Királyságban és Európában értékesített Exynos-motoros változatok), A71, A53, A33, A21s, A13, A12, A04, M3 3, M13 és M12 sorozatSamsung Galaxy Watch 5 és Watch 4Vivo S16, S15, S6, X70, X60 és X30 sorozat Google Pixel 7 duo, Pixel 6 termékcsalád és Pixel 6a A Pixel 7 márciusi szoftverfrissítése a legsúlyosabb biztonsági rést, a CVE-t orvosolta.-2023-24033. A Pixel 6 és 6a állítólag még ebben a hónapban megkapja a frissítést. A Samsung és a Vivo készülékek továbbra is védtelenek maradnak, annak ellenére, hogy a Samsungot 90 nappal ezelőtt értesítették a problémáról.
A Project Zero kutatója szerint a Samsungot már régen értesítették a problémáról.
A Project Zero azt tanácsolja, hogy amíg a javítás ki nem készül, azoknak a felhasználóknak, akik meg akarják védeni eszközeiket az alapsáv távoli kódfuttatási sebezhetőségeivel szemben, ki kell kapcsolniuk. Wi-Fi-hívás és Voice-over-LTE (VoLTE).
Mivel a négy kritikus hiba könnyen kihasználható, a Project Zero úgy döntött, hogy kivételt tesz közzétételi irányelve alól, és nem árul el további részleteket megkönnyítheti a hacker dolgát.
