Credito immagine: David Paul Morris/Bloomberg
L’unità di ricerca sulla sicurezza di Google sta lanciando l’allarme su una serie di vulnerabilità riscontrate in dozzine di modelli Android, dispositivi indossabili e alcuni chip Samsung nei veicoli, temendo che i difetti possano presto essere scoperti e sfruttati.
UN BlogTim Willis, capo di Project Zero di Google, ha affermato che i ricercatori interni alla sicurezza hanno trovato e segnalato 18 vulnerabilità zero-day nei modem Exynos prodotti da Samsung negli ultimi mesi, inclusi quattro difetti di alta gravità attraverso la rete cellulare.
“I test condotti da Project Zero confermano che queste quattro vulnerabilità consentono a un utente malintenzionato di compromettere in remoto un telefono a livello di banda base senza l’interazione dell’utente e l’attaccante deve conoscere il numero di telefono della vittima”, ha affermato Willis.
Ottenendo la capacità di eseguire in remoto il codice a livello di banda base di un dispositivo, essenzialmente modem Exynos che convertono i segnali cellulari in dati digitali, un utente malintenzionato può ottenere un accesso quasi illimitato ai dati che entrano ed escono da un dispositivo vittima. Chiamate cellulari, messaggi di testo e dati cellulari senza avvisare la vittima.
Man mano che le divulgazioni vanno, è raro che Google, o qualsiasi società di ricerca sulla sicurezza, veda vulnerabilità di alta gravità prima di essere avvisato. Google ha notato il rischio per il pubblico, affermando che abili aggressori “possono sviluppare rapidamente un exploit funzionante” con ricerche e sforzi limitati.
Maddy Stone, ricercatrice del Progetto Zero Ha scritto su Twitter Samsung ha avuto 90 giorni per correggere i bug, ma ancora no.
Samsung ha confermato Elenco di sicurezza di marzo 2023 Diversi modem Exynos sono vulnerabili e interessano diversi produttori di dispositivi Android, ma hanno fornito pochi altri dettagli.
Secondo Project Zero, i dispositivi interessati includono quasi una dozzina di modelli Samsung, dispositivi Vivo e telefoni Pixel 6 e Pixel 7 di Google. I dispositivi interessati includono dispositivi indossabili e veicoli che si affidano ai chip Exynos per connettersi alle reti cellulari.
Google ha affermato che le patch variano a seconda del produttore, ma ha notato che i suoi dispositivi Pixel ne sono già dotati. Aggiornamenti di sicurezza di marzo.
Gli utenti che desiderano proteggersi possono disabilitare le chiamate Wi-Fi e Voice-over-LTE (VoLTE) nelle impostazioni del proprio dispositivo fino a quando i produttori interessati non rilasceranno aggiornamenti software ai propri clienti, che “rimuoveranno il rischio di sfruttare queste vulnerabilità”.
Google ha affermato che le restanti 14 vulnerabilità erano meno gravi perché richiedevano l’accesso al dispositivo o un accesso interno o privilegiato alle impostazioni del gestore di telefonia mobile.
