2023 年 3 月のセキュリティ更新プログラムが適用されていない場合は、Wi-Fi 通話と VoLTE を無効にする必要があります。
私たちは生活のほぼすべてのものをスマートフォンに信頼しており、その代わりに、スマートフォンが安全で攻撃から保護されていることを期待しています。 それは いつもの 毎月のセキュリティ更新プログラムはデータの保護に大いに役立ちます。 ただし、 Googleピクセル または サムスンの携帯電話、おそらく警戒する必要があります。 Google のバグハンティング チームである Project Zero は、影響を与える 18 個のセキュリティ脆弱性を特定しました。 Exynos モデム、およびそれらを組み合わせると、攻撃者はユーザーがいなくてもスマートフォンを完全に制御できるようになります。 知っていること。
この脆弱性は 2022 年末から 2023 年初めに発見され、18 件の脆弱性のうち 4 件が発見されました。 被害者の電話だけでリモートでコードを実行できるため、最も重要であると考えられています。 番号。 最も深刻なエクスプロイトの 1 つだけが、公的に割り当てられた Common Vulnerabilities and Exposures (CVE) 番号を持っています。 Google は、通常のバグ公開に対するまれな例外として、この脆弱性に関連する多数の CVE を保留しています。 プロトコル。
Google の Project Zero によると、次のデバイスが影響を受けます。
- S22、M33、M13、M12、A71、A53、A33、A21s、A13、A12、および A04 シリーズを含む、Samsung 製のモバイル デバイス。
- Vivo のモバイル デバイス (S16、S15、S6、X70、X60、および X30 シリーズを含む)。
- Google の Pixel 6 および Pixel 7 シリーズのデバイス。 そして
- Exynos Auto T5123 チップセットを使用する車両。
このバグは、Pixel 7シリーズにはすでに提供されている3月のセキュリティアップデートで修正されています。 ただし、Pixel 6シリーズにはまだ搭載されておらず、Googleは、パッチが適用されていないデバイスを使用しているユーザーはVoLTEとWi-Fi通話を無効にする必要があると述べています。 プロジェクト・ゼロの責任者ティム・ウィリス氏は、「追加の研究開発が限られていれば、熟練した攻撃者が攻撃を仕掛けてくるだろう」と述べた。 影響を受けるデバイスをサイレントかつリモートで侵害するための運用上のエクスプロイトを迅速に作成できます。」言い換えれば、ユーザーは デバイスが侵害されているにもかかわらず、そのことを知らない可能性があり、一部の攻撃者にとっては非常に簡単に見つけて悪用される可能性があるようです。 良い。
私たちが情報を持っている主要なエクスプロイトである CVE-2023-24033 については、その説明では、影響を受けるベースバンド モデム チップセットが「 セッション記述プロトコル (SDP) モジュールで指定された形式の種類を適切にチェックしないと、サービス拒否が発生する可能性があります。」 この文脈におけるサービスとは通常、攻撃者があなたの携帯電話をリモートからロックして使用できなくすることを意味しますが、追加の詳細はありません が与えられます。
他の 14 の脆弱性 (CVE-2023-26072、CVE-2023-26073、CVE-2023-26074、CVE-2023-26075、 CVE-2023-26076、および CVE を待っている他の 9 件）はそれほど重大ではありませんが、依然として最後までリスクを伴います ユーザー。 悪用を成功させるには、「悪意のあるモバイル ネットワーク オペレーターか、デバイスにローカル アクセスできる攻撃者」のいずれかが必要です。
アップデートを待っていて影響を受けるデバイスを使用しているユーザーは、現時点では VoLTE と Wi-Fi 通話を必ず無効にしてください。 3 月のセキュリティ更新プログラムが利用可能であるものの、まだ更新していない場合は、更新する時期が来たかもしれません。
ソース： Google プロジェクト ゼロ