Smartphones, Wearables und sogar Autos, die Samsungs verwenden Exynos-Chipsätze könnte nach der Entdeckung von 18 Zero-Day-Schwachstellen durch Googles Project Zero einem Angriffsrisiko ausgesetzt sein.
Das Bug-Hunting-Team des Suchgiganten entdeckte und meldete die Fehler zwischen Ende letzten Jahres und Anfang dieses Jahres. Während einige bereits gepatcht wurden, müssen andere noch einen Fix erhalten.
Von den 18 entdeckten Zero-Day-Fehlern gelten vier als äußerst schwerwiegend, da sie die Remote-Ausführung von Code ermöglichen könnten. Erschwerend kommt hinzu, dass diese RCE-Bugs (Internet-to-Baseband Remote Code Execution) keine Benutzerinteraktion erfordern, um ausgenutzt zu werden.
In einem Sicherheitsberatung (öffnet in neuem Tab) Beschreibung einer der Sicherheitslücken (verfolgt als CVE-2023-24033 (öffnet in neuem Tab)) lieferte Samsung weitere Details zu dem Fehler und sagte: „Die Basisband-Software überprüft die vom SDP angegebenen Formattypen des Accept-Type-Attributs nicht ordnungsgemäß, was zu einer Denial-of-Service- oder Code-Ausführung im Samsung-Basisband-Modem führen kann.“
Es ist erwähnenswert, dass die Die besten Samsung-Handys In den USA verkaufte Geräte sind nicht betroffen, da sie die Modems von Qualcomm verwenden, im Gegensatz zu den von Samsung selbst hergestellten. Dennoch sind Googles eigene Pixel-Geräte und sogar einige der Die besten Samsung-Uhren die Exynos-Chipsätze verwenden, sind.
Anfällige Samsung- und Pixel-Telefone
In einem Blogeintrag (öffnet in neuem Tab)Leiter von Project Zero Tim Willis, erklärte, dass das Google-Team Tests durchgeführt habe, um zu bestätigen, dass die vier schwerwiegendsten Zero-Day-Fehler es einem Angreifer ermöglichen könnten, ein anfälliges Samsung- oder Pixel-Gerät „auf Basisbandebene ohne Benutzerinteraktion“ aus der Ferne zu kompromittieren.
Anstatt Malware oder eine bösartige App zu verwenden, um sich den ersten Zugriff auf das Gerät eines Opfers zu verschaffen, muss ein Angreifer lediglich dessen Telefonnummer kennen.
Die verbleibenden vierzehn weiteren Zero-Day-Schwachstellen in Samsungs Exynos-Chips sind bei weitem nicht so schwerwiegend, und um sie auszunutzen, müsste ein Angreifer lokalen Zugriff auf ein anfälliges Smartphone haben oder auf die Hilfe eines böswilligen Mobilfunkbetreibers angewiesen sein.
Samsung Semiconductor hat eine Liste aller betroffenen Exynos-Chipsätze zusammengestellt, die in der obigen Sicherheitsempfehlung zu finden ist. Basierend auf den Recherchen von Project Zero sind jedoch die folgenden Smartphones betroffen:
- Samsung S22
- Samsung M33
- Samsung M13
- Samsung M12
- Samsung A71
- Samsung A53
- Samsung A33
- Samsung A21s
- Samsung A13
- Samsung A12
- Samsung A04
- Vivo S16
- Vivo S15
- Vivo S6
- VivoX70
- VivoX60
- VivoX30
- Pixel6
- Pixel 6 Pro
- Pixel 6a
- Pixel7
- Pixel 7 Pro
Wie wir oben erwähnt haben, verwenden normalerweise nur in Europa und Korea verkaufte Samsung-Telefone die firmeneigenen Exynos-Chipsätze. Diejenigen, die in den USA verkauft werden, tun dies nicht, aber die Smartwatches von Samsung, einschließlich der Samsung Galaxy Watch 5 und andere tun es. Ebenso ist jedes Fahrzeug, das den Chipsatz Exynos Auto T5123 von Samsung verwendet, von diesen Fehlern betroffen.
Einige Geräte wurden gepatcht und für andere gibt es eine Problemumgehung
Entsprechend Piepender Computer (öffnet in neuem Tab), Samsung hat bereits Sicherheitsupdates entwickelt, die diese Schwachstellen beheben, und sie an Anbieter gesendet, die die betroffenen Chipsätze in ihren Geräten verwenden. Die Patches sind jedoch noch nicht öffentlich und können nicht von allen betroffenen Benutzern angewendet werden.
Einige Gerätehersteller haben jedoch bereits mit der Einführung begonnen, darunter Google, das die Internet-zu-Basisband-RCE-Fehler in seinem Gerät behoben hat März 2023 Sicherheitsupdates für Pixel-Telefone.
Für diejenigen, die ein betroffenes Gerät besitzen, das noch nicht aktualisiert wurde, hat Project Zero eine Problemumgehung. Bis Sie das Sicherheitsupdate erhalten, das diese Zero-Day-Fehler beseitigt, sollten Sie sowohl WLAN-Anrufe als auch Voice-over-LTE (VoLTE) deaktivieren, da dies der Hauptangriffsvektor ist, der verwendet wird, um sie auszunutzen.
Sobald die Updates verfügbar sind, sollten Sie sie jedoch sofort installieren, da Angreifer daran arbeiten könnten, diese Fehler in ihren Angriffen auszunutzen, nachdem ihre Existenz veröffentlicht wurde.