Google Project Zero heeft een reeks gevaarlijke beveiligingsfouten in de Exynos-chips van Samsung aan het licht gebracht, die kan worden uitgebuit zonder enige interactie van de gebruiker, en geef een bedreigingsactor volledige controle over apparaten, variërend van Android-smartphones tot wearables en voertuigen.
18 Nuldagen in Exynos W920-chipset en de Exynos Auto T5123-chipset
Het 18 zero-day kwetsbaarheden hebben betrekking op de Exynos W920-chipset en de Exynos Auto T5123-chipset. Van de 18 gebreken, vier kunnen worden gebruikt om uitvoering van internet-naar-baseband externe code mogelijk te maken, zoals laat gemeld door Google Project Zero 2022 en vroeg 2023. Volgens Tim Willis, hoofd van Google Project Zero, deze vier kwetsbaarheden stellen een aanvaller in staat om op afstand toegang te krijgen tot een telefoon op basisbandniveau, simpelweg door het telefoonnummer van een slachtoffer te kennen.
CVE-2023-24033
Van deze, de vier meest ernstige (CVE-2023-24033 en drie andere die nog CVE-ID's moeten krijgen) ingeschakeld uitvoering van externe code via internet-naar-basisband. Volgens de beschrijving van CVE-2023-24033 in de National Vulnerability Database, Het sessiebeschrijvingsprotocol (SDP) de formaattypes van de module worden niet goed gecontroleerd door het Samsung Exynos-modem 5123, Exynos-modem 5300, Exynos 980, Exynos 1080, en Exynos Auto T512 basisbandmodem-chipsets, resulterend in een mogelijke denial of service.
Testen door project Zero bevestigde dat deze een aanvaller in staat zouden kunnen stellen om op afstand een telefoon op de basisband te compromitteren, alleen het telefoonnummer van het slachtoffer nodig. Bekwame aanvallers zouden waarschijnlijk een exploit kunnen maken om dit in stilte en op afstand te doen met minimale extra onderzoek en ontwikkeling. De overige veertien kwetsbaarheden (CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076 en negen andere die nog CVE-ID's moeten krijgen) waren niet zo erg, omdat ze een kwaadwillende mobiele netwerkoperator nodig hadden of een aanvaller met lokale toegang tot het apparaat.
Gebruikers van Pixel 6 en 7 handsets hebben al een fix gekregen met de March 2023 beveiligingsupdates. Echter, wanneer andere apparaten hun patches zullen ontvangen, hangt af van het schema van de fabrikant. Om het risico te verkleinen dat u wordt blootgesteld aan de gebreken, gebruikers wordt geadviseerd om bellen via wifi en Voice over LTE uit te schakelen (Volte) in hun apparaatinstellingen.
Wat is een nuldag??
Een “zero-day kwetsbaarheid” is een beveiligingsfout in software of hardware die onbekend is bij het publiek en nog niet is verholpen door de software-/hardwareontwikkelaar. Dit betekent dat de kwetsbaarheid kan worden misbruikt voordat iemand zich ervan bewust is, waardoor het een "zero-day" exploit wordt. De exploit kan verschillende problemen veroorzaken voordat deze wordt gedetecteerd, waardoor het bijzonder gevaarlijk is.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: