Google’ın güvenlik araştırma birimi, düzinelerce Android modelinde, giyilebilir cihazda ve araçta bulunan belirli Samsung çiplerinde bulduğu bir dizi güvenlik açığı konusunda alarm veriyor ve kusurların yakında keşfedilip istismar edilebileceğinden korkuyor.
İçinde Blog yazısıGoogle’ın Project Zero başkanı Tim Willis, şirket içi güvenlik araştırmacılarının, Samsung tarafından son birkaç ay içinde üretilen Exynos modemlerde, etkilenen cihazları “sessizce ve uzaktan” tehlikeye atabilecek en önemli dört kusur da dahil olmak üzere 18 sıfır gün güvenlik açığı bulduğunu ve rapor ettiğini söyledi. hücresel ağ üzerinden.
Willis, “Project Zero tarafından gerçekleştirilen testler, bu dört güvenlik açığının, bir saldırganın herhangi bir kullanıcı etkileşimi olmadan temel bant düzeyinde bir telefonu uzaktan ele geçirmesine izin verdiğini ve yalnızca saldırganın kurbanın telefon numarasını bilmesini gerektirdiğini doğruladı” dedi.
Saldırgan, bir cihazın ana bant düzeyinde (esas olarak hücre sinyallerini dijital verilere dönüştüren Exynos modemler) uzaktan kod çalıştırma yeteneği kazanarak, etkilenen bir cihaza giren ve çıkan verilere neredeyse sınırsız erişim elde edebilir. kurbanı uyarmadan hücresel aramalar, metin mesajları ve hücre verileri.
Açıklamalar devam ederken, Google’ın veya herhangi bir güvenlik araştırma firmasının yüksek önemdeki güvenlik açıkları yamalanmadan önce alarm verdiğini görmek nadirdir. Google, yetenekli saldırganların sınırlı araştırma ve çabayla “hızlı bir şekilde operasyonel bir istismar oluşturabileceklerini” belirterek, halka yönelik riske dikkat çekti.
Project Zero araştırmacısı Maddie Stone Twitter’da yazdı Samsung’un hataları düzeltmek için 90 günü vardı ama henüz yapmadı.
Samsung onayladı Mart 2023 güvenlik listesi birkaç Exynos modemin savunmasız olduğunu ve birkaç Android cihaz üreticisini etkilediğini, ancak başka çok az ayrıntı sağladığını.
Project Zero’ya göre, etkilenen cihazlar arasında yaklaşık bir düzine Samsung modeli, Vivo cihazı ve Google’ın kendi Pixel 6 ve Pixel 7 telefonları yer alıyor. Etkilenen cihazlar, hücresel ağa bağlanmak için Exynos çiplerine güvenen giyilebilir cihazları ve araçları da içerir.
Google, yamaların üreticiye bağlı olarak değişeceğini söyledi, ancak Pixel cihazlarına zaten yama yapıldığını kaydetti. Mart ayı güvenlik güncellemeleri.
Google, etkilenen üreticiler müşterilerine yazılım güncellemeleri gönderene kadar, kendilerini korumak isteyen kullanıcıların cihaz ayarlarında Wi-Fi aramasını ve Voice-over-LTE’yi (VoLTE) kapatabileceklerini ve bunun “bu güvenlik açıklarının istismar riskini ortadan kaldıracağını” söyledi. ”
Google, kalan 14 güvenlik açığının, bir cihaza erişim gerektirmesi veya bir hücre taşıyıcısının sistemlerine içeriden veya ayrıcalıklı erişim gerektirmesi nedeniyle daha az ciddi olduğunu söyledi.