Cibersekurecaj fakuloj malkovrita Grava vundebleco estis malkovrita en Android-poŝtelefonoj funkciigantaj per MediaTek-ĉipoj. Ĝi permesas al eblaj atakantoj ĉerpi sentemajn uzantodatumojn eĉ kiam la aparato estas malŝaltita.
La problemon malkovris fakuloj de la cibersekureca fako de Donjon de Ledger, franca kompanio, kiu produktas aparatarajn kriptomonujojn. La vundebleco influas milionojn da Android-aparatoj kun MediaTek-procesoroj, kiuj uzas la Fidindan Ekzekutan Medion (TEE) de Trustonic. Dum demonstraĵo de la ekspluato, inĝenieroj rompis la bazan sekurecon de inteligenta telefono Nothing CMF Phone 1 en 45 sekundoj konektante ĝin al tekokomputilo.
La ekspluato funkcias sen lanĉo de la Android-operaciumo. Simple konekti la inteligenta telefono al komputilo aŭtomate eltiras la PIN-kodon de la aparato, malĉifras ĝian memoron, kaj eltiras pasvortojn por popularaj kriptomonejaj monujoj. La radiko de la problemo estas la Fidinda Ekzekuta Medio (TEE) sur MediaTek-ĉipoj. Ĉi tiu areo, kiu protektas sentemajn datumojn, estas fizike lokita sur la ĉefa ĉipo. Kompare, konkurantoj uzas dediĉitajn sekurecajn funkciojn: Google Titan M2, Apple Secure Enclave, kaj Qualcomm Secure Processing Unit. Ili izolas sentemajn datumojn de la ĉefa ĉipo. Ĉi tiu apartigo helpas protekti la aparataron kontraŭ fizikaj atakoj.
La vundebleco malkovrita en MediaTek-ĉipoj ricevis la numeron CVE-2026-20435. Fakuloj de Donjon emfazis, ke ili sekvis la proceduron pri respondeca malkaŝo kaj anticipe informis MediaTek pri la problemo. La ĉipproduktanto siavice sendis flikaĵon al aparatproduktantoj la 5-an de januaro 2026, postulante ilin efektivigi ĝin en siaj aparataj firmvaroj kun venontaj ĝisdatigoj. La problemo influis procesorojn uzatajn en baznivelaj ĝis flagŝipaj inteligentaj telefonoj de markoj kiel Oppo, Vivo, OnePlus kaj Samsung. Ne eblis determini ĉu la vundebleco estis efektive ekspluatita de ciberkrimuloj.
fonto:
fonto: 3dnews.ru
