Si vous ne disposez pas de la mise à jour de sécurité de mars 2023, vous devriez probablement désactiver les appels Wi-Fi et VoLTE.
Nous confions à nos smartphones presque tout dans notre vie et, en retour, nous attendons qu'ils soient sécurisés et protégés contre les attaques. C'est généralement C’est le cas, et les mises à jour de sécurité mensuelles contribuent grandement à protéger nos données. Cependant, si vous avez un Google-Pixels ou un téléphone Samsung, vous devriez probablement vous méfier. Le Project Zero de Google, son équipe de recherche de bogues, a identifié dix-huit failles de sécurité qui affectent Les modems Exynos, et leur combinaison peut donner à un attaquant un contrôle total sur votre smartphone sans même que vous ayez à le faire. connaissance.
Les vulnérabilités ont été découvertes fin 2022 et début 2023, et quatre des dix-huit vulnérabilités sont considérés comme les plus critiques car ils permettent l'exécution de code à distance avec uniquement le téléphone de la victime nombre. Un seul des exploits les plus graves possède un numéro CVE (Common Vulnerabilities and Exposures) attribué publiquement, avec Google retient un certain nombre de CVE associés à cette vulnérabilité dans une rare exception à la divulgation normale de bogues protocole.
Les appareils suivants sont concernés, selon le Project Zero de Google.
- Appareils mobiles de Samsung, y compris ceux des séries S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 et A04;
- Appareils mobiles de Vivo, y compris ceux des séries S16, S15, S6, X70, X60 et X30;
- Les séries d'appareils Pixel 6 et Pixel 7 de Google; et
- tous les véhicules qui utilisent le chipset Exynos Auto T5123.
Ce bug a été corrigé dans la mise à jour de sécurité de mars, dont dispose déjà la série Pixel 7. Cependant, la série Pixel 6 ne l'a pas encore et Google indique que les utilisateurs qui utilisent des appareils non corrigés doivent désactiver les appels VoLTE et Wi-Fi. Tim Willis, directeur du Project Zero, a déclaré: « Avec des recherches et développements supplémentaires limités, nous pensons que des attaquants expérimentés pourraient être plus efficaces. capable de créer rapidement un exploit opérationnel pour compromettre les appareils affectés silencieusement et à distance. " En d'autres termes, un utilisateur pourrait avoir son périphérique compromis et potentiellement même sans le savoir, et il semble qu'il puisse être assez facile pour certains attaquants de le trouver et de l'exploiter, car Bien.
Quant à l'exploit majeur sur lequel nous disposons d'informations, CVE-2023-24033, sa description indique simplement que les chipsets du modem bande de base concernés "ne fonctionnent pas correctement". ne vérifie pas correctement les types de format spécifiés par le module Session Description Protocol (SDP), ce qui peut conduire à un déni de service. Dans ce contexte, le service signifie généralement qu'un attaquant peut verrouiller votre téléphone à distance et vous empêcher de l'utiliser, sans toutefois fournir de détails supplémentaires. sont donnés.
Les quatorze autres vulnérabilités (CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076 et neuf autres en attente de CVE) ne sont pas aussi critiques mais comportent toujours des risques jusqu'au bout utilisateur. Pour une exploitation réussie, ils nécessitent « soit un opérateur de réseau mobile malveillant, soit un attaquant disposant d'un accès local à l'appareil ».
Pour les utilisateurs qui attendent une mise à jour et utilisent un appareil concerné, assurez-vous de désactiver les appels VoLTE et Wi-Fi pour le moment. Si la mise à jour de sécurité de mars est disponible mais que vous ne l'avez pas encore mise à jour, il est peut-être temps de le faire.
Source: Projet Google Zéro