Hvis du ikke har sikkerhetsoppdateringen fra mars 2023, bør du sannsynligvis deaktivere Wi-Fi-anrop og VoLTE.
Vi stoler på smarttelefonene våre med stort sett alt i livene våre, og til gjengjeld forventer vi at de er sikre og beskyttet mot angrep. Det er som oftest saken, og månedlige sikkerhetsoppdateringer beskytter dataene våre langt. Men hvis du har en Google Pixel eller a Samsung telefon, du bør nok være på vakt. Googles Project Zero, dets feiljaktteam, har identifisert atten sikkerhetssårbarheter som påvirker Exynos-modemer, og å kombinere dem kan gi en angriper full kontroll over smarttelefonen din uten deg selv vite.
Sårbarhetene ble oppdaget i slutten av 2022 og begynnelsen av 2023, og fire av de atten sårbarhetene anses å være de mest kritiske siden de muliggjør ekstern kjøring av kode med bare offerets telefon Antall. Bare én av de mest alvorlige utnyttelsene har et offentlig tildelt Common Vulnerabilities and Exposures (CVE)-nummer, med Google holder tilbake en rekke CVE-er knyttet til dette sikkerhetsproblemet i et sjeldent unntak fra normal avsløring av feil protokoll.
Følgende enheter er berørt, ifølge Googles Project Zero.
- Mobile enheter fra Samsung, inkludert de i S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 og A04-serien;
- Mobile enheter fra Vivo, inkludert de i S16, S15, S6, X70, X60 og X30-serien;
- Pixel 6- og Pixel 7-seriene med enheter fra Google; og
- alle kjøretøyer som bruker Exynos Auto T5123-brikkesettet.
Denne feilen er rettet i sikkerhetsoppdateringen fra mars, som Pixel 7-serien allerede har. Pixel 6-serien har det imidlertid ikke ennå, og Google sier at brukere som bruker uopprettede enheter bør deaktivere VoLTE og Wi-Fi Calling. Tim Willis, leder for Project Zero, sa at "med begrenset ytterligere forskning og utvikling tror vi at dyktige angripere vil bli i stand til raskt å lage en operasjonell utnyttelse for å kompromittere berørte enheter stille og eksternt." Med andre ord kan en bruker ha sine enheten kompromittert og potensielt ikke engang vet om den, og det virker som det kan være ganske enkelt for noen angripere å finne og utnytte som vi vil.
Når det gjelder den store utnyttelsen vi har informasjon om, CVE-2023-24033, sier beskrivelsen ganske enkelt at de berørte basebåndmodembrikkesettene "gjør ikke riktig sjekke formattyper spesifisert av Session Description Protocol (SDP)-modulen, noe som kan føre til tjenestenekt." tjeneste i denne sammenhengen betyr vanligvis at en angriper kan eksternt låse telefonen din og hindre deg i å bruke den, men ingen ytterligere detaljer er gitt.
De andre fjorten sårbarhetene (CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076 og ni andre som venter på CVEer) er ikke like kritiske, men bærer fortsatt risiko til slutten bruker. For vellykket utnyttelse krever de "enten en ondsinnet mobilnettverksoperatør eller en angriper med lokal tilgang til enheten."
For brukere som venter på en oppdatering og bruker en berørt enhet, sørg for å deaktivere VoLTE og Wi-Fi Calling for nå. Hvis du har sikkerhetsoppdateringen for mars tilgjengelig, men ikke har oppdatert ennå, kan det være på tide å gjøre det.
Kilde: Google Project Zero