เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบขเบนเปˆเปƒเบ™เป‚เบกเบ”เบนเบ™เป„เบฎเป‰เบชเบฒเบ Samsung Exynos, เบชเบฒเบกเบฒเบ”เบ‚เบนเบ”เบฎเบตเบ”เบœเปˆเบฒเบ™เบญเบดเบ™เป€เบ•เบตเป€เบ™เบฑเบ”

เบ™เบฑเบเบ„เบปเป‰เบ™เบ„เบงเป‰เบฒเบˆเบฒเบเบ—เบตเบกเบ‡เบฒเบ™ Google Project Zero เบฅเบฒเบเบ‡เบฒเบ™เบเบฒเบ™เบเปเบฒเบ™เบปเบ” 18 เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเปƒเบ™เป‚เบกเป€เบ”เบฑเบก Samsung Exynos 5G/LTE/GSM. เบชเบตเปˆเบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบญเบฑเบ™เบ•เบฐเบฅเบฒเบเบ—เบตเปˆเบชเบธเบ” (CVE-2023-24033) เบญเบฐเบ™เบธเบเบฒเบ”เปƒเบซเป‰เบ›เบฐเบ•เบดเบšเบฑเบ”เบฅเบฐเบซเบฑเบ”เบขเบนเปˆเปƒเบ™เบฅเบฐเบ”เบฑเบšเบŠเบดเบšเป€เบšเบ”เปเบšเบ™เป‚เบ”เบเบœเปˆเบฒเบ™เบเบฒเบ™เบซเบกเบนเบ™เปƒเบŠเป‰เบˆเบฒเบเป€เบ„เบทเบญเบ‚เปˆเบฒเบเบญเบดเบ™เป€เบ•เบตเป€เบ™เบฑเบ”เบžเบฒเบเบ™เบญเบ. เบญเบตเบ‡เบ•เบฒเบกเบœเบนเป‰เบ•เบฒเบ‡เบซเบ™เป‰เบฒเบ‚เบญเบ‡ Google Project Zero, เบซเบผเบฑเบ‡เบˆเบฒเบเบ”เปเบฒเป€เบ™เบตเบ™เบเบฒเบ™เบ„เบปเป‰เบ™เบ„เป‰เบงเบฒเป€เบžเบตเปˆเบกเป€เบ•เบตเบกเป€เบฅเบฑเบเบ™เป‰เบญเบ, เบœเบนเป‰เป‚เบˆเบกเบ•เบตเบ—เบตเปˆเบกเบตเบ„เบงเบฒเบกเบŠเปเบฒเบ™เบดเบŠเปเบฒเบ™เบฒเบ™เบˆเบฐเบชเบฒเบกเบฒเบ”เบเบฐเบเบฝเบกเบเบฒเบ™เบ‚เบนเบ”เบฎเบตเบ”เบ—เบตเปˆเป€เบฎเบฑเบ”เบงเบฝเบเป„เบ”เป‰เป„เบงเบ—เบตเปˆเป€เบฎเบฑเบ”เปƒเบซเป‰เบกเบฑเบ™เป€เบ›เบฑเบ™เป„เบ›เป„เบ”เป‰เบ—เบตเปˆเบˆเบฐเป„เบ”เป‰เบฎเบฑเบšเบเบฒเบ™เบ„เบงเบšเบ„เบธเบกเบˆเบฒเบเป„เบฅเบเบฐเป„เบเปƒเบ™เบฅเบฐเบ”เบฑเบšเป‚เบกเบ”เบนเบ™เป„เบฎเป‰เบชเบฒเบ, เป‚เบ”เบเบฎเบนเป‰เบžเบฝเบ‡เปเบ•เปˆเป€เบšเบตเป‚เบ—เบฅเบฐเบชเบฑเบšเบ‚เบญเบ‡เบœเบนเป‰เป€เบ„เบฒเบฐเบฎเป‰เบฒเบ. เบเบฒเบ™เป‚เบˆเบกเบ•เบตเบชเบฒเบกเบฒเบ”เบ–เบทเบเบ›เบฐเบ•เบดเบšเบฑเบ”เป‚เบ”เบเบœเบนเป‰เปƒเบŠเป‰เบšเปเปˆเป„เบ”เป‰เบชเบฑเบ‡เป€เบเบ”เป€เบซเบฑเบ™เปเบฅเบฐเบšเปเปˆเบ•เป‰เบญเบ‡เบเบฒเบ™เปƒเบซเป‰เบฅเบฒเบงเบ”เปเบฒเป€เบ™เบตเบ™เบเบฒเบ™เปƒเบ”เป†.

เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆ 14 เบญเบฑเบ™เบ—เบตเปˆเบเบฑเบ‡เป€เบซเบผเบทเบญเบกเบตเบฅเบฐเบ”เบฑเบšเบ„เบงเบฒเบกเบฎเบธเบ™เปเบฎเบ‡เบ•เปˆเปเบฒ, เบ™เบฑเบšเบ•เบฑเป‰เบ‡เปเบ•เปˆเบเบฒเบ™เป‚เบˆเบกเบ•เบตเบฎเบฝเบเบฎเป‰เบญเบ‡เปƒเบซเป‰เบกเบตเบเบฒเบ™เป€เบ‚เบปเป‰เบฒเป€เบ–เบดเบ‡เป‚เบ„เบ‡เบชเป‰เบฒเบ‡เบžเบทเป‰เบ™เบ–เบฒเบ™เบ‚เบญเบ‡เบœเบนเป‰เบ›เบฐเบ•เบดเบšเบฑเบ”เบเบฒเบ™เป€เบ„เบทเบญเบ‚เปˆเบฒเบเบกเบทเบ–เบทเบซเบผเบทเบเบฒเบ™เป€เบ‚เบปเป‰เบฒเป€เบ–เบดเบ‡เบ—เป‰เบญเบ‡เบ–เบดเปˆเบ™เบ‚เบญเบ‡เบญเบธเบ›เบฐเบเบญเบ™เบ‚เบญเบ‡เบœเบนเป‰เปƒเบŠเป‰. เบกเบตเบ‚เปเป‰เบเบปเบเป€เบงเบฑเป‰เบ™เบ‚เบญเบ‡ CVE-2023-24033, เป€เบŠเบดเปˆเบ‡เป„เบ”เป‰เบ–เบทเบเบ›เบฑเบšเบ›เบธเบ‡เปเบเป‰เป„เบ‚เปƒเบ™เบเบฒเบ™เบ›เบฑเบšเบ›เบธเบ‡เป€เบŸเบตเบกเปเบงเปƒเบ™เป€เบ”เบทเบญเบ™เบกเบตเบ™เบฒเบชเปเบฒเบฅเบฑเบšเบญเบธเบ›เบฐเบเบญเบ™ Google Pixel, เบšเบฑเบ™เบซเบฒเบเบฑเบ‡เบ„เบปเบ‡เบšเปเปˆเป„เบ”เป‰เบฎเบฑเบšเบเบฒเบ™เปเบเป‰เป„เบ‚. เบ—เบฑเบ‡เปเบปเบ”เบ—เบตเปˆเบฎเบนเป‰เบˆเบฑเบเบเปˆเบฝเบงเบเบฑเบšเบŠเปˆเบญเบ‡เป‚เบซเบงเปˆ CVE-2023-24033 เปเบกเปˆเบ™เป€เบเบตเบ”เบกเบฒเบˆเบฒเบเบเบฒเบ™เบเบงเบ”เบชเบญเบšเบšเปเปˆเบ–เบทเบเบ•เป‰เบญเบ‡เบ‚เบญเบ‡เบฎเบนเบšเปเบšเบšเบ‚เบญเบ‡เบ„เบธเบ™เบชเบปเบกเบšเบฑเบ” โ€œเบ›เบฐเป€เบžเบ”เบเบฒเบ™เบเบญเบกเบฎเบฑเบšโ€ เบ—เบตเปˆเบชเบปเปˆเบ‡เปƒเบ™เบ‚เปเป‰เบ„เบงเบฒเบก SDP (Session Description Protocol).

เบˆเบปเบ™เบเปˆเบงเบฒเบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเป„เบ”เป‰เบ–เบทเบเปเบเป‰เป„เบ‚เป‚เบ”เบเบœเบนเป‰เบœเบฐเบฅเบดเบ”, เบœเบนเป‰เปƒเบŠเป‰เป„เบ”เป‰เบ–เบทเบเปเบ™เบฐเบ™เปเบฒเปƒเบซเป‰เบ›เบดเบ”เบเบฒเบ™เบชเบฐเบซเบ™เบฑเบšเบชเบฐเบซเบ™เบนเบ™ VoLTE (Voice-over-LTE) เปเบฅเบฐเบŸเบฑเบ‡เบŠเบฑเบ™เบเบฒเบ™เป‚เบ— Wi-Fi เปƒเบ™เบเบฒเบ™เบ•เบฑเป‰เบ‡เบ„เปˆเบฒ. เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบ›เบฒเบเบปเบ”เบขเบนเปˆเปƒเบ™เบญเบธเบ›เบฐเบเบญเบ™เบ—เบตเปˆเบกเบตเบŠเบดเบš Exynos, เบ•เบปเบงเบขเปˆเบฒเบ‡เป€เบŠเบฑเปˆเบ™, เปƒเบ™เป‚เบ—เบฅเบฐเบชเบฑเบšเบชเบฐเบซเบผเบฒเบ” Samsung (S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 เปเบฅเบฐ A04), Vivo (S16, S15, S6, X70, X60 เปเบฅเบฐ X30), Google Pixel (6 เปเบฅเบฐ 7), เป€เบŠเบฑเปˆเบ™เบ”เบฝเบงเบเบฑเบ™เบเบฑเบšเบญเบธเบ›เบฐเบเบญเบ™เบชเบงเบกเปƒเบชเปˆเบเบฑเบšเบŠเบดเบšเป€เบŠเบฑเบ” Exynos W920 เปเบฅเบฐเบฅเบฐเบšเบปเบšเบเบฒเบ™เบเบปเบ™เบ—เบตเปˆเบกเบตเบŠเบดเบš Exynos Auto T5123.

เป€เบ™เบทเปˆเบญเบ‡เบˆเบฒเบเบญเบฑเบ™เบ•เบฐเบฅเบฒเบเบ‚เบญเบ‡เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเปเบฅเบฐเบ„เบงเบฒเบกเป€เบ›เบฑเบ™เบˆเบดเบ‡เบ‚เบญเบ‡เบเบฒเบ™เป€เบเบตเบ”เบเบฒเบ™เบ‚เบนเบ”เบฎเบตเบ”เบขเปˆเบฒเบ‡เป„เบงเบงเบฒ, Google เบ•เบฑเบ”เบชเบดเบ™เปƒเบˆเบเบปเบเป€เบงเบฑเป‰เบ™เบเบปเบ”เบฅเบฐเบšเบฝเบšเบชเปเบฒเบฅเบฑเบš 4 เบšเบฑเบ™เบซเบฒเบญเบฑเบ™เบ•เบฐเบฅเบฒเบเบ—เบตเปˆเบชเบธเบ”เปเบฅเบฐเบŠเบฑเบเบŠเป‰เบฒเบเบฒเบ™เป€เบ›เบตเบ”เป€เบœเบตเบเบ‚เปเป‰เบกเบนเบ™เบเปˆเบฝเบงเบเบฑเบšเบฅเบฑเบเบชเบฐเบ™เบฐเบ‚เบญเบ‡เบšเบฑเบ™เบซเบฒ. เบชเปเบฒเบฅเบฑเบšเบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบ—เบตเปˆเบเบฑเบ‡เป€เบซเบผเบทเบญ, เบฅเบฒเบเบฅเบฐเบญเบฝเบ”เบˆเบฐเบ–เบทเบเป€เบ›เบตเบ”เป€เบœเบตเบ 90 เบกเบทเป‰เบซเบผเบฑเบ‡เบˆเบฒเบเปเบˆเป‰เบ‡เบœเบนเป‰เบ‚เบฒเบ (เบ‚เปเป‰เบกเบนเบ™เบเปˆเบฝเบงเบเบฑเบšเบŠเปˆเบญเบ‡เป‚เบซเบงเปˆ CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 เปเบฅเบฐ CVE-2023-26076 เปเบฅเป‰เบง. เปƒเบ™โ€‹เบฅเบฐโ€‹เบšเบปเบšโ€‹เบเบฒเบ™โ€‹เบ•เบดเบ”โ€‹เบ•เบฒเบก bugโ€‹, เปเบฅเบฐโ€‹เบชเปเบฒโ€‹เบฅเบฑเบšโ€‹เบเบฒเบ™โ€‹เบ—เบตเปˆโ€‹เบเบฑเบ‡โ€‹เป€เบซเบผเบทเบญ 9 เบšเบฑเบ™โ€‹เบซเบฒโ€‹, เป„เบฅโ€‹เบเบฐโ€‹เป€เบงโ€‹เบฅเบฒโ€‹เบเบฒเบ™โ€‹เบฅเปโ€‹เบ–เป‰เบฒ 90 เบงเบฑเบ™โ€‹เบเบฑเบ‡โ€‹เบšเปเปˆโ€‹เบ—เบฑเบ™โ€‹เบซเบกเบปเบ”โ€‹เบญเบฒโ€‹เบเบธโ€‹)โ€‹. เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบ—เบตเปˆเบ–เบทเบเบฅเบฒเบเบ‡เบฒเบ™ CVE-2023-2607* เปเบกเปˆเบ™เป€เบเบตเบ”เบกเบฒเบˆเบฒเบ buffer overflow เป€เบกเบทเปˆเบญเบ–เบญเบ”เบฅเบฐเบซเบฑเบ”เบšเบฒเบ‡เบ•เบปเบงเป€เบฅเบทเบญเบ เปเบฅเบฐเบฅเบฒเบเบŠเบทเปˆเปƒเบ™เบ•เบปเบงเปเบ›เบ‡เบชเบฑเบ™เบเบฒเบ™ NrmmMsgCodec เปเบฅเบฐ NrSmPcoCodec.

เปเบซเบผเปˆเบ‡เบ‚เปเป‰เบกเบนเบ™: opennet.ru

เป€เบžเบตเปˆเบกเบ„เบงเบฒเบกเบ„เบดเบ”เป€เบซเบฑเบ™