Celulares Samsung e Pixel tem falha grave que permite invasão de hacker

22 de março de 2023 redator Informativo

Read Time:2 Minute, 12 Second

Os pesquisadores de cyber segurança do Google identificaram 18 vulnerabilidades de 0day, quatro das quais permitiram que hackers comprometessem remotamente dispositivos de smartphones usando apenas o número de telefone da vítima.

Os proprietários de telefones Google Pixel e Samsung devem ser cautelosos, pois os pesquisadores do google dedicados ao Project Zero, identificaram 18 vulnerabilidades de segurança que afetam os modems Exynos. Essas vulnerabilidades, se combinadas, podem permitir que uma pessoa mal intencionada obtenha controle total sobre um smartphone sem alertar o usuário. Os dispositivos vulneráveis a essas vulnerabilidades incluem o seguinte:

Google Pixel 6 e Pixel 7
Vivo S16, S15, S6, X70, X60 e X30
Samsung S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 e A04

Além disso, dispositivos wearable que usam o chipset Exynos W20, como o Galaxy Watch 4 e 5, e veículos que usam o chipset Exynos Auto T5123 também são vulneráveis.

De acordo com o chefe do Projeto Zero, Tim Willis, essas vulnerabilidades de 0day foram encontradas no final de 2022 e início de 2023. Das 18 falhas de segurança, quatro permitem que os invasores comprometam o telefone remotamente usando apenas o número de telefone da vítima.

Além disso, pessoas mal intencionadas podem criar uma exploração operacional rapidamente para comprometer os dispositivos afetados “silenciosamente e remotamente”. Essas quatro falhas são as mais cruciais de todas.

Um dos exploits recebeu um número CVE (Common Vulnerabilities and Exposures), CVE-2023-24033, e o Google o reteve, o que é um caso raro, considerando suas divulgações anteriores de bugs. Nessa falha, os chipsets do modelo de banda base afetados não verificam os tipos de formato que o módulo SDP especifica, levando a um ataque de negação de serviço. Portanto, um invasor pode bloquear remotamente o telefone e impedir que o usuário o use.

Foi corrigido na atualização de segurança de março de 2023 do Google e já foi implementado nos telefones da série Pixel 7. No entanto, a série Pixel 6, incluindo o Pixel 6 Pro e o Pixel 6a, ainda não o possui.

As outras 14 vulnerabilidades não são tão críticas. Alguns receberam CVEs, incluindo CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 e CVE-2023-26076, enquanto 9 ainda aguardam CVEs. Vale a pena notar que os invasores precisariam de uma operadora de rede móvel maliciosa ou acesso local ao dispositivo para explorá-los. Embora possa parecer impossível, um relatório de junho de 2022 mostra que os ISPs têm ajudado agentes de ameaças mal-intencionados a instalar malware nos dispositivos das vítimas.

Como de proteger

Aqueles que usam dispositivos sem patch devem desativar as chamadas Wi-Fi e VoLTE (voz sobre LTE).