Google herkent voor ongepatchte herkenningswaarden in Samsung Exynos-modems – Tablets en telefoons – Nieuws

Googles Project Zero-team heeft vier kwetsbaarheden in bepaalde Exynos-modems van Samsung gevonden, misbruikt kan worden met het telefoonnummer van de gebruiker. Samsung heeft nog geen patch uitgebracht voor de kwetsbaarheden.

Project Zero zegt dat de vier kwetsbaarheden snel te misbruiken zijn door ervaren aanvallers en dat er geen gebruikershandeling nodig is om de kwetsbaarheden uit te buiten. Alleen het telefoonnummer van de gebruiker zou noodzakelijk zijn om de aanval uit te voeren. Het beveiligingsteam geeft nog geen details over de kwetsbaarheden, omdat deze nog gepatcht moet worden door onder meer Samsung.

De kwetsbaarheden zitten volgens Google onder meer in de Europese versie van de Galaxy S22, en in de A71-, A53-, A33-, A21-, A13-, A12-, A04-, M33-, M13- en M12-smartphones. Ook bepaalde Vivo-toestellen zijn vatbaar voor de kwetsbaarheden, de Pixel 6- en 7-smartphones van Google. Laatstgenoemde zei met de maart 2023-beveiligingsupdate een patch die is uitgebracht voor Pixel-toestellen. Wearables en voertuigen die de Exynos W920- en Exynos Auto T5123-chipsets gebruiken, zijn ook vatbaar voor de kwetsbaarheden.

Googles Project Zero-team openbaart sinds 2020 kwetsbaarheden na 90 dagen, controle van een bedrijf een patch heeft gepubliceerd of niet. Het team kan hier vanaf wijken, als bekendmakende aanvallers meer in de hand werken dan gebruikers die vatbaar zijn voor de kwetsbaarheden. “Vanwege een zeer unieke combinatie van hoeveel toegang je met deze kwetsbaarheden krijgt en de snelheid waarmee een exploit gemaakt kan worden”, zegt Project Zero de kwetsbaarheden nu te openbaren. Gebruikers die nog geen patch hebben ontvangen, kunnen zichzelf beschermen door VoLTE en VoWi-Fi uit te schakelen.

Een van de kwetsbaarheden heet CVE-2023-24033, de andere drie kwetsbaarheden hebben nog geen CVE-nummer. Het beveiligingsteam dat zoekt naar kwetsbaarheden in software heeft nog veertien andere kwetsbaarheden in de modems gevonden, maar deze zijn volgens Google minder serieus. Om deze uit te buiten, is namelijk lokale toegang tot een apparaat dat nodig is van een kwaadwillige provider. Een van deze kwetsbaarheden maakt een heapbufferoverloop mogelijk met het 112-systeem van de smartphone.

Eindgebruikers hebben 90 dagen na melding nog steeds geen patches… https://t.co/dkA9kuzTso

— Maddie Steen (@maddiestone) 16 maart 2023