Google нашла десятки уязвимостей в модемах Samsung — для защиты на смартфонах Pixel, Samsung и Vivo нужно отключить некоторые функции
Команда Project Zero компании Google рассказала о серьёзных уязвимостях, представляющих угрозу для смартфонов с модемами Exynos, используемыми во флагманах Pixel 6 и 7, а также во многих смартфонах Samsung, Vivo и многих носимых устройствах, в первую очередь — смарт-часах. К счастью, у их пользователей есть возможность защитить информацию до обновления ПО.
В Project Zero выявили 18 уязвимостей, связанных с модемами Exynos, в конце 2022 и начале 2023 годов. Четыре из них, включая CVE-2023-24033, позволяют злоумышленникам удалённо выполнять код на устройствах пользователей, компрометируя телефоны без их участия — достаточно знать номер жертвы. В Google считают, что квалифицированные организаторы атак смогут быстро создать рабочее решение для использования в неблаговидных целях.
Ещё 14 уязвимостей являются не столь критическими и требуют либо участия недобросовестного оператора мобильной сети, либо «локального» доступа злоумышленника к устройству. В Project Zero сообщили, что сделали исключение из политики задержки раскрытия данных об уязвимостях из-за уровня угрозы и скорости, с которой злоумышленники в принципе могут создать действующий эксплойт. По данным Samsung на январь 2023 года, проблема касается чипов Exynos Modem 5123, Exynos Modem 5300, Exynos 980, Exynos 1080 и Exynos Auto T5123. Google составила список уязвимых продуктов:
- смартфоны Samsung Galaxy, включая серии S22, M33, M13, M12, A71, A53, A33, A21, A13, A12, и A04;
- смартфоны Vivo, включая серии S16, S15, S6, X70, X60 и X30 series;
- Google Pixel 6 и 6 Pro, Pixel 6a, Pixel 7 и 7 Pro;
- все носимые устройства с чипсетами Exynos W920;
- все транспортные средства, использующие чипсеты Exynos Auto T5123.
Помимо Pixel 6 (Exynos 5123) и Pixel 7 (Exynos 5300), речь идёт о флагмане Galaxy S22 и Galaxy Watch 4 и 5. На некоторых смартфонах Pixel основная уязвимость CVE-2023-24033 уже устранена мартовской «заплаткой» системы безопасности, вышедшей в понедельник. Впрочем, Pixel 6, 6 Pro и 6a ещё не получили мартовского обновления и, как сообщает портал 9to5google, уязвимы до сих пор.
В Project Zero советуют временно, до обновления ПО во всех уязвимых смартфонах, защитить себя, отключив вызовы по Wi-Fi и Voice-over-LTE (VoLTE). Правда, по данным Sprint/T-Mobile, в смартфонах Google Pixel благодаря обновлениям 2021 года VoLTE активируется автоматически и отключить его обычными средствами невозможно, но можно отключить функцию в моделях других брендов.
Andrey on