Σοβαρές ευπάθειες σε Samsung και Vivo τηλέφωνα δίνουν τον έλεγχο σε hackers

Η ομάδα ασφαλείας της Google, “Project Zero”, εντόπισε σοβαρές ευπάθειες σε συσκευές οι οποίες χρησιμοποιούν modems της Samsung. Σύμφωνα με την ανακοίνωση, αρκετές εκδόσεις των Exynos modems έχουν ευπάθειες οι οποίες “μπορούν να επιτρέψουν στον επιτιθέμενο να έχει πρόσβαση στο βασικό επίπεδο της συσκευής χωρίς να χρειάζεται καμία αλληλεπίδραση από το χρήστη”. Το μόνο που χρειάζονται οι hackers, είναι ο τηλεφωνικός αριθμός του χρήστη.

Μάλιστα η ομάδα της Google τονίζει πως κάποιος έμπειρος hacker θα μπορούσε να εκμεταλλευτεί την ευπάθεια με ελάχιστα μέσα στη διάθεσή του.

Η ευπάθεια επηρεάζει και τα Pixel τηλέφωνα, σύμφωνα με την Google όμως η αναβάθμιση ασφαλείας Μαρτίου διόρθωσε το πρόβλημα – αν και η αναβάθμιση δεν έχει φτάσει ακόμα στα Pixel 6, 6 Pro και 6a.

Οι συσκευές που σύμφωνα με τους ερευνητές βρίσκονται σε κίνδυνο είναι οι εξής:

• Τηλέφωνα της Samsung με Exynos modem, μεταξύ των οποίων συμπεριλαμβάνονται τα S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 και A04
• Τηλέφωνα της vivo, όπως τα S16, S15, S6, X70, X60 και X30 (τα οποία δεν κυκλοφορούν στην Ελλάδα)
• Οι Pixel 6 και Pixel 7 συσκευές της Google
• Όλα τα wearables που χρησιμοποιούν το Exynos W920 chipset
• Όλα τα οχήματα που χρησιμοποιούν το Exynos Auto T5123 chipset

Θεωρητικά, τα Galaxy S23 είναι ασφαλή αφού δε χρησιμοποιούν Exynos chipset, ενώ οι παλαιότερες συσκευές με Exynos όπως τα Galaxy S21 χρησιμοποιούν modem το οποίο δε βρίσκεται στη λίστα των επηρεαζόμενων modems.

Η ομάδα της Google προτρέπει τους χρήστες που επηρεάζονται να απενεργοποιήσουν το Wi-Fi calling και το Voice-over-LTE.

Σύμφωνα με την ομάδα Project Zero, η Google προειδοποίησε τη Samsung για την ευπάθεια τρεις μήνες πριν, ωστόσο ακόμα δεν έχει δώσει η εταιρία κάποιο patch, αναγκάζοντας την ομάδα ασφαλείας να δημοσιεύσει τα ευρήματά της. Συνολικά, βρέθηκαν 18 ευπάθειες στα Exynos modems της Samsung, με τα 4 να χαρακτηρίζονται αρκετά σοβαρά με “internet-to-baseband code execution”.

End-users still don't have patches 90 days after report.... https://t.co/dkA9kuzTso

— Maddie Stone (@maddiestone) March 16, 2023