18 vulnerabilità zero-day nei chipset Exynos di Samsung: cosa devi sapere
Google sta richiamando l’attenzione su una serie di gravi vulnerabilità di sicurezza nei chip Exynos di Samsung, alcune delle quali potrebbero essere sfruttate da remoto per compromettere completamente un telefono senza richiedere alcuna interazione da parte dell’utente.
Le 18 vulnerabilità zero-day interessano un’ampia gamma di smartphone Android di Samsung, Vivo, Google, dispositivi indossabili che utilizzano il chipset Exynos W920 e veicoli equipaggiati con il chipset Exynos Auto T5123.
Quattro delle 18 falle consentono a un hacker di ottenere l’esecuzione di codice remoto da Internet a banda larga, ha dichiarato Google Project Zero, che ha segnalato i problemi tra la fine del 2022 e l’inizio del 2023.
Le quattro vulnerabilità nei chipset Exynos più pericolose
Le quattro vulnerabilità sono considerate particolarmente gravi, in quanto consentono l’esecuzione di codice remoto da Internet alla banda base (RCE). Tra queste, la CVE-2023-24033 e altre tre vulnerabilità in attesa di un CVE-ID.
Tim Willis, responsabile di Google Project Zero
“Le quattro vulnerabilità consentono a un aggressore di compromettere da remoto un telefono a livello di banda base senza alcuna interazione con l’utente e richiedono solo che l’aggressore conosca il numero di telefono della vittima”.
Le basi per l’attacco derivano dal fatto che il software di baseband non controlla correttamente i tipi di formato dell’attributo accept-type specificato dall’SDP, il che può portare a una negazione del servizio o all’esecuzione di codice nel Samsung Baseband Modem.
Dispositivi interessati dalle vulnerabilità
L’elenco dei dispositivi interessati dalle vulnerabilità nei chipset Exynos include, ma non è limitato a:
- Dispositivi mobili Samsung, tra cui le serie S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 e A04;
- Dispositivi mobili Vivo, tra cui le serie S16, S15, S6, X70, X60 e X30;
- Dispositivi Pixel 6 e Pixel 7 di Google;
- Dispositivi indossabili che utilizzano il chipset Exynos W920;
- Veicoli dotati del chipset Exynos Auto T5123.
Soluzioni disponibili e misure temporanee
Mentre i telefoni Pixel 6 e 7 hanno già ricevuto una correzione come parte degli aggiornamenti di sicurezza di marzo 2023, le patch per gli altri dispositivi variano a seconda della tempistica del produttore.
Fino ad allora, si raccomanda agli utenti di disattivare le chiamate Wi-Fi e Voice over LTE (VoLTE) nelle impostazioni del dispositivo per “eliminare il rischio di sfruttamento di queste vulnerabilità”.
Aggiornamenti e raccomandazioni per gli utenti
Samsung e altri produttori stanno lavorando per fornire aggiornamenti di sicurezza che risolvano queste vulnerabilità nei dispositivi interessati. Tuttavia, fino a quando non saranno disponibili le patch, gli utenti possono seguire il consiglio di Project Zero e disabilitare le chiamate Wi-Fi e VoLTE per mitigare l’impatto di queste vulnerabilità.
“Come sempre, incoraggiamo gli utenti finali ad aggiornare i loro dispositivi il prima possibile, per assicurarsi che stiano eseguendo le ultime build che risolvono sia le vulnerabilità di sicurezza divulgate che quelle non divulgate”, ha aggiunto Willis.
