Google ha descubierto varias fallas en los chips Exynos de Samsung

A fines de 2022 y principios de 2023, el equipo de investigación de seguridad Project Zero de Google informó 18 fallas de día cero en los chips de módem Exynos fabricados por Samsung Semiconductor. Las cuatro más graves (CVE-2023-24033 y otras tres vulnerabilidades a las que aún no se les han asignado ID de CVE) permitieron la ejecución remota de código de Internet a banda base. "Las pruebas realizadas por Project Zero confirman que estas cuatro vulnerabilidades permiten que un atacante comprometa de forma remota un teléfono a nivel de banda base sin interacción del usuario, y solo requiere que el atacante sepa el número de teléfono de la víctima", dice Project Zero.

Según el equipo de investigación, los atacantes experimentados podrían crear rápidamente un exploit funcional para comprometer los puntos finales afectados de forma discreta y remota. Las otras catorce vulnerabilidades asociadas (CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076 y otras nueve vulnerabilidades a las que aún no se les ha asignado una ID de CVE) fueron menos graves, ya que requieren un operador de red móvil malicioso o acceso local al dispositivo. De acuerdo con su política de divulgación estándar, Project Zero divulga las vulnerabilidades de seguridad al público algún tiempo después de informarlas a los proveedores de software o hardware.

Google Pixels ya parcheado con el parche de revisión de marzo de 2023

Los conjuntos de chips Exynos afectados por estas vulnerabilidades son: dispositivos móviles Samsung, incluidos los de las series S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 y A04; terminales móviles de Vivo, incluidos los de las series S16, S15, S6, X70, X60 y X30; las series de dispositivos Pixel 6 y Pixel 7 de Google; todos los dispositivos portátiles que utilizan el chipset Exynos W920; otros todos los vehículos que utilizan el chipset Exynos Auto T5123.

“Esperamos que los tiempos de actualización de parches varíen según el fabricante (por ejemplo, los dispositivos Pixel afectados ya recibieron un parche para CVE-2023-24033 en la actualización de seguridad de marzo de 2023)”, dice Project Zero. “Mientras tanto, los usuarios con dispositivos afectados pueden protegerse de las vulnerabilidades de ejecución remota de código de banda base discutidas en este artículo al deshabilitar las llamadas WiFi y Voice over LTE (VoLTE) en la configuración de su dispositivo. . Como siempre, alentamos a los usuarios finales a actualizar sus dispositivos lo antes posible, para asegurarse de que estén ejecutando las últimas versiones que corrigen las vulnerabilidades de seguridad reveladas y no reveladas”.