Onderzoekers van het Google Project Zero-team hebben de ontdekking gemeld van 18 kwetsbaarheden in Samsung Exynos 5G/LTE/GSM-modems. De vier gevaarlijkste kwetsbaarheden (CVE-2023-24033) maken code-uitvoering op het niveau van de basebandchip mogelijk via manipulatie vanaf externe internetnetwerken. Volgens vertegenwoordigers van Google Project Zero zullen gekwalificeerde aanvallers na wat aanvullend onderzoek snel een werkende exploit kunnen ontwikkelen die bediening op afstand op het niveau van de draadloze module mogelijk maakt, waarbij ze alleen het telefoonnummer van het slachtoffer kennen. De aanval kan onopgemerkt door de gebruiker worden uitgevoerd en vereist geen enkele actie.
De overige 14 kwetsbaarheden zijn van lagere ernst, omdat de aanval toegang tot de infrastructuur van de mobiele operator of lokale toegang tot het apparaat van de gebruiker vereist. Met uitzondering van kwetsbaarheid CVE-2023-24033, waarvoor een oplossing werd voorgesteld in de firmware-update van maart voor Google Pixel-apparaten, zijn de problemen nog steeds niet opgelost. Het enige dat bekend is over kwetsbaarheid CVE-2023-24033 is dat deze wordt veroorzaakt door een onjuiste controle van de indeling van het kenmerk 'accept-type' dat wordt verzonden in SDP-berichten (Session Description Protocol).
Totdat de kwetsbaarheden door fabrikanten zijn verholpen, wordt gebruikers geadviseerd de VoLTE-ondersteuning (Voice-over-LTE) en de wifi-belfunctie in de instellingen uit te schakelen. De kwetsbaarheden doen zich voor in apparaten met Exynos-chips, bijvoorbeeld in Samsung-smartphones (S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 en A04), Vivo (S16, S15, S6, X70, X60 en X30), Google Pixel (6 en 7), evenals wearables met de Exynos W920-chipset en autosystemen met de Exynos Auto T5123-chip.
Vanwege de ernst van de kwetsbaarheden en de kans dat er snel een exploit verschijnt, heeft Google besloten een uitzondering te maken voor de vier meest ernstige problemen en de openbaarmaking van details over de problemen uit te stellen. De overige kwetsbaarheden zijn onderworpen aan een openbaarmakingstermijn van 4 dagen na kennisgeving aan de leverancier (informatie over CVE-90-2023, CVE-26072-2023, CVE-26073-2023, CVE-26074-2023 en CVE-26075-2023 is al beschikbaar in de bugtracker en de resterende 26076 problemen hebben hun wachttijd van 9 dagen nog niet verstreken). De genoemde kwetsbaarheden CVE-90-2023* worden veroorzaakt door een bufferoverloop bij het decoderen van bepaalde opties en lijsten in de codecs NrmmMsgCodec en NrSmPcoCodec.
Bron: opennet.ru
