.
Samsung
O Google está pedindo aos proprietários de determinados telefones Android que tomem medidas urgentes para se protegerem de vulnerabilidades críticas que permitem que hackers habilidosos comprometam sub-repticiamente seus dispositivos fazendo uma chamada especialmente criada para o número deles. Não está claro se todas as ações solicitadas são possíveis, no entanto, e mesmo se forem, as medidas neutralizarão os dispositivos da maioria dos recursos de chamada de voz.
A vulnerabilidade afeta dispositivos Android que usam o chipset Exynos fabricado pela divisão de semicondutores da Samsung. Os dispositivos vulneráveis incluem o Pixel 6 e 7, versões internacionais do Samsung Galaxy S22, vários telefones Samsung de gama média, o Galaxy Watch 4 e 5 e carros com o chip Exynos Auto T5123. Esses dispositivos SOMENTE são vulneráveis se executarem o chipset Exynos, que inclui a banda base que processa sinais para chamadas de voz. A versão americana do Galaxy S22 roda um chip Qualcomm Snapdragon.
Um bug rastreado como CVE-2023-24033 e três outros que ainda não receberam uma designação CVE permitem que hackers executem códigos maliciosos, informou a equipe de vulnerabilidades do Project Zero do Google na quinta-feira. Bugs de execução de código na banda base podem ser especialmente críticos porque os chips são dotados de privilégios de sistema de nível raiz para garantir que as chamadas de voz funcionem de maneira confiável.
“Testes conduzidos pelo Project Zero confirmam que essas quatro vulnerabilidades permitem que um invasor comprometa remotamente um telefone no nível de banda base sem interação do usuário e exige apenas que o invasor saiba o número de telefone da vítima”, escreveu Tim Willis, do Project Zero. “Com pesquisa e desenvolvimento adicionais limitados, acreditamos que invasores qualificados seriam capazes de criar rapidamente uma exploração operacional para comprometer os dispositivos afetados de forma silenciosa e remota”.
No início deste mês, o Google lançou um patch para modelos de Pixel vulneráveis. A Samsung lançou uma atualização corrigindo o CVE-2023-24033, mas ainda não foi entregue aos usuários finais. Não há indicação de que a Samsung emitiu patches para as outras três vulnerabilidades críticas. Até que os dispositivos vulneráveis sejam corrigidos, eles permanecem vulneráveis a ataques que fornecem acesso no nível mais profundo possível.
A ameaça levou Willis a colocar este conselho no topo da postagem de quinta-feira:
Até que as atualizações de segurança estejam disponíveis, os usuários que desejam se proteger das vulnerabilidades de execução remota de código de banda base nos chipsets Exynos da Samsung podem desativar as chamadas Wi-Fi e Voice-over-LTE (VoLTE) nas configurações de seus dispositivos. Desativar essas configurações removerá o risco de exploração dessas vulnerabilidades.
O problema é que não está totalmente claro se é possível desativar o VoLTE, pelo menos em muitos modelos. Uma captura de tela que um usuário do S22 postou no Reddit no ano passado mostra que a opção de desativar o VoLTE está esmaecida. Enquanto o S22 desse usuário estava executando um chip Snapdragon, a experiência para usuários de telefones baseados em Exynos provavelmente é a mesma.
E mesmo que seja possível desligar o VoLTE, fazê-lo em conjunto com a desativação do Wi-Fi pode transformar os telefones em pouco mais do que pequenos tablets com Android. O VoLTE entrou em uso generalizado há alguns anos e, desde então, a maioria das operadoras na América do Norte parou de oferecer suporte às frequências 3G e 2G mais antigas.
Representantes da Samsung disseram em um e-mail que a empresa lançou em março patches de segurança para cinco das seis vulnerabilidades que “podem afetar dispositivos Galaxy selecionados” e corrigirão a sexta falha no próximo mês. O e-mail não respondeu a perguntas sobre se algum dos patches está disponível para usuários finais agora ou se é possível desativar o VoLTE.
Um representante do Google, por sua vez, recusou-se a fornecer as etapas específicas para a execução do conselho no artigo do Project Zero. Os leitores que descobrirem uma maneira são convidados a explicar o processo (com capturas de tela, se possível) na seção de comentários.
Devido à gravidade dos bugs e à facilidade de exploração por hackers habilidosos, o post de quinta-feira omitiu detalhes técnicos. Em sua página de atualização de segurança do produto, a Samsung descreveu o CVE-2023-24033 como uma “corrupção de memória ao processar o tipo de aceitação do atributo SDP”.
“O software de banda base não verifica adequadamente os tipos de formato do atributo tipo de aceitação especificado pelo SDP, o que pode levar a uma negação de serviço ou execução de código no Samsung Baseband Modem”, acrescentou o comunicado. “Os usuários podem desabilitar as chamadas WiFi e VoLTE para mitigar o impacto dessa vulnerabilidade.”
Abreviação da camada Service Discovery Protocol, SDP permite a descoberta de serviços disponíveis de outros dispositivos por Bluetooth. Além da descoberta, o SDP permite que os aplicativos determinem as características técnicas desses serviços. O SDP usa um modelo de solicitação/resposta para os dispositivos se comunicarem.
A ameaça é séria, mas, mais uma vez, se aplica apenas a pessoas que usam uma versão Exynos de um dos modelos afetados. E mais uma vez, o Google lançou um patch no início deste mês para usuários do Pixel.
Até que a Samsung ou o Google digam mais, os usuários de dispositivos que permanecem vulneráveis devem (1) instalar todas as atualizações de segurança disponíveis com atenção a um patching CVE-2023-24033, (2) desativar as chamadas Wi-Fi e (3) explore o menu de configurações de seu modelo específico para ver se é possível desativar o VoLTE. Esta postagem será atualizada se alguma das empresas responder com informações mais úteis.
.
