Si elles sont exploitées, ces failles peuvent permettre aux attaquants d'obtenir un accès non autorisé à des informations sensibles ou de causer des problèmes en général.
Des chercheurs de l'équipe Google Project Zero ont récemment annoncé, via un article de blog, la découverte de 18 vulnérabilités détectées dans les modems Samsung Exynos 5G/LTE/GSM .
D'après les représentants de Google Project Zero, après quelques recherches supplémentaires, des attaquants expérimentés peuvent rapidement mettre au point une faille de sécurité fonctionnelle leur permettant de prendre le contrôle à distance du module sans fil, en ne connaissant que le numéro de téléphone de la victime. L'attaque peut être menée à l'insu de l'utilisateur et ne nécessite aucune action de sa part , ce qui rend certaines des vulnérabilités détectées critiques.
Les quatre vulnérabilités les plus dangereuses (CVE-2023-24033) permettent l'exécution de code au niveau de la puce de bande de base par la manipulation de réseaux Internet externes.
Fin 2022 et début 2023, Project Zero a signalé dix-huit vulnérabilités zero-day dans les modems Exynos produits par Samsung Semiconductor. Les quatre plus graves de ces dix-huit vulnérabilités (CVE-2023-24033 et trois autres vulnérabilités qui n'ont pas encore reçu d'ID CVE) permettaient l'exécution de code à distance depuis Internet vers la bande de base.
Parmi les 14 vulnérabilités restantes, celles listées sont considérées comme moins graves, car l'attaque nécessite un accès à l'infrastructure de l'opérateur de réseau mobile ou un accès local à l'appareil de l'utilisateur. À l'exception de CVE-2023-24033, corrigée lors de la mise à jour du firmware de mars pour les appareils Google Pixel, les problèmes persistent.
Jusqu'à présent, la seule chose connue à propos de la vulnérabilité CVE-2023-24033 est qu'elle est causée par une vérification incorrecte du format de l'attribut accept-type transmis dans les messages SDP (Session Description Protocol).
Les tests de Project Zero confirment que ces quatre vulnérabilités permettent à un attaquant de compromettre à distance un téléphone au niveau de la bande de base sans interaction de l'utilisateur, et nécessitent uniquement que l'attaquant connaisse le numéro de téléphone de la victime. Avec une recherche et un développement supplémentaires limités, nous pensons que des attaquants qualifiés pourraient rapidement créer un exploit opérationnel pour compromettre silencieusement et à distance les appareils concernés.
Ces vulnérabilités apparaissent sur les appareils équipés de puces Samsung Exynos. D'après les informations provenant de sites web publics établissant la correspondance entre les puces et les appareils, les produits concernés sont probablement les suivants :
- Appareils mobiles Samsung, y compris les séries S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 et A04 ;
- Appareils mobiles Vivo, y compris les séries S16, S15, S6, X70, X60 et X30 ;
- Les séries d'appareils Pixel 6 et Pixel 7 de Google ; et
- tout véhicule utilisant le chipset Exynos Auto T5123.
En attendant que les fabricants corrigent ces failles de sécurité, il est conseillé aux utilisateurs de désactiver la VoLTE (voix par LTE) et les appels Wi-Fi dans leurs paramètres. La désactivation de ces options permettra d'éliminer tout risque d'exploitation de ces vulnérabilités.
En raison du danger que représentent les vulnérabilités et de la réalité de l'émergence rapide d'exploits, Google a décidé de faire une exception pour les 4 problèmes les plus dangereux et de reporter la divulgation d'informations sur la nature de ces problèmes.
Comme toujours, nous encourageons les utilisateurs finaux à mettre à jour leurs appareils dès que possible pour s'assurer qu'ils exécutent les dernières versions qui corrigent les vulnérabilités de sécurité divulguées et non divulguées.
Pour le reste des vulnérabilités, le calendrier de divulgation des détails sera suivi 90 jours après la notification au fabricant (informations sur les vulnérabilités CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 et CVE-2023-26076 -9-90 est maintenant disponible dans le système de suivi des bogues et pour les XNUMX problèmes restants, l'attente de XNUMX jours n'a pas encore expiré).
Les vulnérabilités signalées CVE-2023-2607* sont causées par un débordement de tampon lors du décodage de certaines options et listes dans les codecs NrmmMsgCodec et NrSmPcoCodec.
Enfin, si vous souhaitez en savoir plus, vous trouverez les détails en suivant ce lien.