Google Project Zero meeskonna teadlased teatasid Samsung Exynos 18G/LTE/GSM-modemites 5 haavatavusest. Neli kõige ohtlikumat haavatavust (CVE-2023-24033) võimaldavad koodi käivitamist põhiriba kiibi tasemel manipuleerimise kaudu välistest Interneti-võrkudest. Google Project Zero esindajate sõnul suudavad kvalifitseeritud ründajad pärast väikest lisauuringut kiiresti ette valmistada toimiva ärakasutamise, mis võimaldab juhtmevaba mooduli tasemel kaugjuhtimist omandada, teades vaid ohvri telefoninumbrit. Rünnak võib toimuda kasutajale märkamatult ja see ei nõua talt mingeid toiminguid.
Ülejäänud 14 haavatavust on madalama raskusastmega, kuna rünnak nõuab juurdepääsu mobiilsideoperaatori infrastruktuurile või kohalikku juurdepääsu kasutaja seadmele. Välja arvatud haavatavus CVE-2023-24033, mille parandamiseks pakuti välja Google Pixeli seadmete märtsi püsivara värskendus, jäävad probleemid parandamata. Ainus asi, mida CVE-2023-24033 haavatavusest teatakse, on see, et selle põhjuseks on SDP (Session Description Protocol) sõnumites edastatava atribuudi “accept-type” vormingu vale kontrollimine.
Kuni haavatavused pole tootjate poolt parandatud, soovitatakse kasutajatel VoLTE (Voice-over-LTE) tugi ja Wi-Fi kaudu helistamise funktsioon seadetes välja lülitada. Haavatavus avaldub Exynose kiipidega varustatud seadmetes, näiteks Samsungi nutitelefonides (S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 ja A04), Vivo (S16, S15, S6, X70, X60 ja X30), Google Pixel (6 ja 7), samuti Exynos W920 kiibistikul põhinevad kantavad seadmed ja Exynos Auto T5123 kiibiga autosüsteemid.
Haavatavuste ohu ja ärakasutamise kiire esilekerkimise realistlikkuse tõttu otsustas Google teha 4 kõige ohtlikuma probleemi osas erandi ja lükata probleemide olemust puudutava teabe avalikustamise edasi. Ülejäänud haavatavuste puhul järgitakse üksikasjade avalikustamise ajakava 90 päeva pärast tootja teavitamist (teave turvaaukude CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 ja CVE kohta -2023-26076 on veajälgimissüsteemis juba saadaval ja ülejäänud 9 probleemi puhul ei ole 90-päevane ooteaeg veel aegunud). Teatatud haavatavused CVE-2023-2607* on põhjustatud puhvri ületäitumisest teatud suvandite ja loendite dekodeerimisel kodekides NrmmMsgCodec ja NrSmPcoCodec.
Allikas: opennet.ru