Pokud nemáte bezpečnostní aktualizaci z března 2023, pravděpodobně byste měli zakázat volání Wi-Fi a VoLTE.
Svým chytrým telefonům věříme v podstatě všemu v našich životech a na oplátku očekáváme, že budou zabezpečené a chráněné proti útokům. To je obvykle případ a měsíční aktualizace zabezpečení znamenají při ochraně našich dat dlouhou cestu. Pokud však máte a Google Pixel nebo a telefon Samsung, asi byste se měli mít na pozoru. Projekt Zero společnosti Google, jeho tým pro vyhledávání chyb, identifikoval osmnáct bezpečnostních zranitelností, které ovlivňují Modemy Exynos a jejich kombinace mohou poskytnout útočníkovi plnou kontrolu nad vaším chytrým telefonem i bez vás vědět.
Chyby byly objeveny koncem roku 2022 a začátkem roku 2023 a čtyři z osmnácti zranitelností jsou považovány za nejkritičtější, protože umožňují vzdálené spuštění kódu pouze pomocí telefonu oběti číslo. Pouze jeden z nejzávažnějších exploitů má veřejně přidělené číslo Common Vulnerabilities and Exposures (CVE) s Google zadržuje řadu CVE souvisejících s touto chybou zabezpečení ve vzácné výjimce z běžného zveřejnění chyb protokol.
Podle projektu Google Project Zero jsou ovlivněna následující zařízení.
- Mobilní zařízení od společnosti Samsung, včetně zařízení řady S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 a A04;
- Mobilní zařízení od společnosti Vivo, včetně zařízení řady S16, S15, S6, X70, X60 a X30;
- Řada zařízení Pixel 6 a Pixel 7 od společnosti Google; a
- všechna vozidla, která používají čipovou sadu Exynos Auto T5123.
Tato chyba byla opravena v březnové bezpečnostní aktualizaci, kterou řada Pixel 7 již má. Řada Pixel 6 ji však zatím nemá a Google říká, že uživatelé, kteří používají nepatchovaná zařízení, by měli deaktivovat VoLTE a Wi-Fi Calling. Tim Willis, vedoucí projektu Zero, řekl, že „s omezeným dalším výzkumem a vývojem věříme, že zkušení útočníci by byli schopen rychle vytvořit provozní exploit k tichému a vzdálenému kompromitování postižených zařízení." Jinými slovy, uživatel by mohl mít své zařízení bylo kompromitováno a potenciálně o něm ani neví, a zdá se, že pro některé útočníky může být docela snadné jej najít a zneužít jako studna.
Pokud jde o hlavní exploit, o kterém máme informace, CVE-2023-24033, jeho popis jednoduše říká, že dotčené čipové sady základního pásma modemu nekontroluje správně typy formátu určené modulem SDP (Session Description Protocol), což může vést k odmítnutí služby." služba v tomto kontextu obvykle znamená, že útočník může vzdáleně uzamknout váš telefon a zabránit vám v jeho používání, i když žádné další podrobnosti jsou dány.
Dalších čtrnáct zranitelností (CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076 a devět dalších čekajících na CVE) nejsou tak kritické, ale stále nesou riziko až do konce uživatel. Pro úspěšné zneužití vyžadují „buď škodlivého operátora mobilní sítě, nebo útočníka s místním přístupem k zařízení“.
Pro uživatele, kteří čekají na aktualizaci a používají postižené zařízení, nezapomeňte prozatím vypnout VoLTE a Wi-Fi volání. Pokud máte k dispozici březnovou aktualizaci zabezpečení, ale ještě jste ji neaktualizovali, možná je čas to udělat.
Zdroj: Google Project Zero