Googles Project Zero-team har upptäckt 18 zero-day-sårbarheter i vissa Samsung Exynos-kretsuppsättningar – vilket leder till att angripare äventyrar enheter på distans.
Medan vissa kräver lokal åtkomst, behöver andra bara ett telefonnummer för att attackera så! Mobila enheter, bilar och wearables som använder Exynos-chippen är i riskzonen. Även om Samsung släppte patcharna för dessa buggar – slut-OEM:erna har ännu inte skickat dem till sina användare.
Säkerhetsbuggar i Samsung Chips
Googles Project Zero har identifierat 18 nolldagarsbuggar i Samsung Exynos-chipsen – alla rapporterade mellan slutet av 2022 och början av 2023. Fyra av de 18 nolldagarsbuggarna betecknades som allvarliga, vilket möjliggjorde RCE-attacker från enhetens internet till basbandet.
Forskare notera att Exynos leder till DoS- eller RCE-attacker. Vad som är mer spännande här är den initiala vektorn som behövs för en angripare bara målets telefonnummer att dra i attacken.
Slutanvändare har fortfarande inte patchar 90 dagar efter anmälan… https://t.co/dkA9kuzTso
— Maddie Stone (@maddiestone) 16 mars 2023
De 14 andra buggarna är inte så allvarliga men utgör tillräcklig risk för användarna att äventyras. Ett framgångsrikt utnyttjande av dessa kräver någon form av lokal åtkomst eller en illvillig mobilnätsoperatör, konstaterar forskarna. Berörda enheter i denna jakt är de som använder vissa Samsung-chips, enligt nedan;
- Mobila enheter som Galaxy S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 och A04-serien;
- Mobila enheter från märket Vivo, nämligen S16, S15, S6, X70, X60 och X30-serien;
- Googles Pixel 6 och Pixel 7-serier;
- Alla wearables som använder Exynos W920-chipset;
- Alla fordon som använder Exynos Auto T5123-chipset.
Även om Samsung redan har släppt patchar för dessa buggar, måste de partner OEM-tillverkare förmedla dem till slutanvändarna. Och eftersom deras uppdateringstidslinje skiljer sig beroende på många faktorer, bör du anta att du är osäker tills de anländer.
Google har redan tagit upp CVE-2023-24033 för påverkade Pixel-enheter i sin säkerhetsuppdatering från mars 2023, medan andra OEM-tillverkare fortfarande håller på att laga patcharna i sina nästa uppdateringar. Tills dess, användare rekommenderas att inaktivera sina enheters Wi-Fi-samtal och Voice-over-LTE (VoLTE) funktioner för att ta bort attackvektorn.
