Google Project Zero ತಂಡದ ಸಂಶೋಧಕರು Samsung Exynos 18G/LTE/GSM ಮೋಡೆಮ್‌ಗಳಲ್ಲಿ 5 ದುರ್ಬಲತೆಗಳ ಆವಿಷ್ಕಾರವನ್ನು ವರದಿ ಮಾಡಿದ್ದಾರೆ. ನಾಲ್ಕು ಅತ್ಯಂತ ಅಪಾಯಕಾರಿ ದೋಷಗಳು (CVE-2023-24033) ಬಾಹ್ಯ ಇಂಟರ್ನೆಟ್ ನೆಟ್‌ವರ್ಕ್‌ಗಳಿಂದ ಕುಶಲತೆಯ ಮೂಲಕ ಬೇಸ್‌ಬ್ಯಾಂಡ್ ಚಿಪ್ ಮಟ್ಟದಲ್ಲಿ ಕೋಡ್ ಎಕ್ಸಿಕ್ಯೂಶನ್ ಅನ್ನು ಅನುಮತಿಸುತ್ತದೆ. ಗೂಗಲ್ ಪ್ರಾಜೆಕ್ಟ್ ಝೀರೋ ಪ್ರತಿನಿಧಿಗಳ ಪ್ರಕಾರ, ಸ್ವಲ್ಪ ಹೆಚ್ಚುವರಿ ಸಂಶೋಧನೆಯ ನಂತರ, ಅರ್ಹ ಆಕ್ರಮಣಕಾರರು ತ್ವರಿತವಾಗಿ ಕೆಲಸ ಮಾಡುವ ಶೋಷಣೆಯನ್ನು ಸಿದ್ಧಪಡಿಸಲು ಸಾಧ್ಯವಾಗುತ್ತದೆ, ಅದು ವೈರ್‌ಲೆಸ್ ಮಾಡ್ಯೂಲ್ ಮಟ್ಟದಲ್ಲಿ ರಿಮೋಟ್ ನಿಯಂತ್ರಣವನ್ನು ಪಡೆಯಲು ಸಾಧ್ಯವಾಗಿಸುತ್ತದೆ, ಬಲಿಪಶುವಿನ ಫೋನ್ ಸಂಖ್ಯೆಯನ್ನು ಮಾತ್ರ ತಿಳಿದುಕೊಳ್ಳುತ್ತದೆ. ದಾಳಿಯನ್ನು ಬಳಕೆದಾರರು ಗಮನಿಸದೆ ನಡೆಸಬಹುದು ಮತ್ತು ಯಾವುದೇ ಕ್ರಿಯೆಗಳನ್ನು ಮಾಡುವ ಅಗತ್ಯವಿಲ್ಲ.
ಉಳಿದ 14 ದುರ್ಬಲತೆಗಳು ಕಡಿಮೆ ತೀವ್ರತೆಯ ಮಟ್ಟವನ್ನು ಹೊಂದಿವೆ, ಏಕೆಂದರೆ ದಾಳಿಗೆ ಮೊಬೈಲ್ ನೆಟ್‌ವರ್ಕ್ ಆಪರೇಟರ್‌ನ ಮೂಲಸೌಕರ್ಯಕ್ಕೆ ಪ್ರವೇಶ ಅಥವಾ ಬಳಕೆದಾರರ ಸಾಧನಕ್ಕೆ ಸ್ಥಳೀಯ ಪ್ರವೇಶದ ಅಗತ್ಯವಿರುತ್ತದೆ. CVE-2023-24033 ದುರ್ಬಲತೆಯನ್ನು ಹೊರತುಪಡಿಸಿ, ಗೂಗಲ್ ಪಿಕ್ಸೆಲ್ ಸಾಧನಗಳಿಗಾಗಿ ಮಾರ್ಚ್ ಫರ್ಮ್‌ವೇರ್ ಅಪ್‌ಡೇಟ್‌ನಲ್ಲಿ ಪರಿಹಾರವನ್ನು ಪ್ರಸ್ತಾಪಿಸಲಾಗಿದೆ, ಸಮಸ್ಯೆಗಳು ಪ್ಯಾಚ್ ಆಗದೆ ಉಳಿದಿವೆ. CVE-2023-24033 ದುರ್ಬಲತೆಯ ಬಗ್ಗೆ ತಿಳಿದಿರುವ ಏಕೈಕ ವಿಷಯವೆಂದರೆ ಅದು SDP (ಸೆಷನ್ ವಿವರಣೆ ಪ್ರೋಟೋಕಾಲ್) ಸಂದೇಶಗಳಲ್ಲಿ ರವಾನೆಯಾಗುವ "ಸ್ವೀಕರಿಸುವ-ಪ್ರಕಾರ" ಗುಣಲಕ್ಷಣದ ಸ್ವರೂಪದ ತಪ್ಪಾದ ಪರಿಶೀಲನೆಯಿಂದ ಉಂಟಾಗುತ್ತದೆ.
ತಯಾರಕರು ದೋಷಗಳನ್ನು ಸರಿಪಡಿಸುವವರೆಗೆ, ಸೆಟ್ಟಿಂಗ್‌ಗಳಲ್ಲಿ ವೈ-ಫೈ ಮೂಲಕ VoLTE (ವಾಯ್ಸ್-ಓವರ್-ಎಲ್‌ಟಿಇ) ಬೆಂಬಲ ಮತ್ತು ಕರೆ ಕಾರ್ಯವನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಲು ಬಳಕೆದಾರರಿಗೆ ಶಿಫಾರಸು ಮಾಡಲಾಗುತ್ತದೆ. Exynos ಚಿಪ್‌ಗಳನ್ನು ಹೊಂದಿರುವ ಸಾಧನಗಳಲ್ಲಿ ದೋಷಗಳು ಸ್ವತಃ ಸ್ಪಷ್ಟವಾಗಿ ಗೋಚರಿಸುತ್ತವೆ, ಉದಾಹರಣೆಗೆ, Samsung ಸ್ಮಾರ್ಟ್‌ಫೋನ್‌ಗಳಲ್ಲಿ (S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 ಮತ್ತು A04), Vivo (S16, S15, S6, X70, X60 ಮತ್ತು X30), Google Pixel (6 ಮತ್ತು 7), ಹಾಗೆಯೇ Exynos W920 ಚಿಪ್‌ಸೆಟ್ ಮತ್ತು Exynos ಆಟೋ T5123 ಚಿಪ್‌ನೊಂದಿಗೆ ಆಟೋಮೋಟಿವ್ ಸಿಸ್ಟಮ್‌ಗಳನ್ನು ಆಧರಿಸಿ ಧರಿಸಬಹುದಾದ ಸಾಧನಗಳು.
ದುರ್ಬಲತೆಗಳ ಅಪಾಯ ಮತ್ತು ಶೋಷಣೆಯ ಕ್ಷಿಪ್ರ ಹೊರಹೊಮ್ಮುವಿಕೆಯ ನೈಜತೆಯಿಂದಾಗಿ, Google 4 ಅತ್ಯಂತ ಅಪಾಯಕಾರಿ ಸಮಸ್ಯೆಗಳಿಗೆ ವಿನಾಯಿತಿ ನೀಡಲು ಮತ್ತು ಸಮಸ್ಯೆಗಳ ಸ್ವರೂಪದ ಬಗ್ಗೆ ಮಾಹಿತಿಯನ್ನು ಬಹಿರಂಗಪಡಿಸುವುದನ್ನು ಮುಂದೂಡಲು ನಿರ್ಧರಿಸಿತು. ಉಳಿದ ದುರ್ಬಲತೆಗಳಿಗಾಗಿ, ತಯಾರಕರಿಗೆ ಸೂಚಿಸಿದ 90 ದಿನಗಳ ನಂತರ ವಿವರಗಳನ್ನು ಬಹಿರಂಗಪಡಿಸುವ ವೇಳಾಪಟ್ಟಿಯನ್ನು ಅನುಸರಿಸಲಾಗುತ್ತದೆ (ದೌರ್ಬಲ್ಯಗಳ ಬಗ್ಗೆ ಮಾಹಿತಿ CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023- -26075-2023 ಈಗಾಗಲೇ ಬಗ್ ಟ್ರ್ಯಾಕಿಂಗ್ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ ಲಭ್ಯವಿದೆ, ಮತ್ತು ಉಳಿದ 26076 ಸಮಸ್ಯೆಗಳಿಗೆ, 9-ದಿನಗಳ ಕಾಯುವಿಕೆ ಇನ್ನೂ ಮುಕ್ತಾಯಗೊಂಡಿಲ್ಲ). ವರದಿಯಾದ ದೋಷಗಳು CVE-90-2023* NrmmMsgCodec ಮತ್ತು NrSmPcoCodec ಕೊಡೆಕ್‌ಗಳಲ್ಲಿ ಕೆಲವು ಆಯ್ಕೆಗಳು ಮತ್ತು ಪಟ್ಟಿಗಳನ್ನು ಡಿಕೋಡ್ ಮಾಡುವಾಗ ಬಫರ್ ಓವರ್‌ಫ್ಲೋನಿಂದ ಉಂಟಾಗುತ್ತದೆ.
ಮೂಲ: opennet.ru