{"id":4383,"date":"2023-07-19T09:29:55","date_gmt":"2023-07-19T08:29:55","guid":{"rendered":"https:\/\/soc.dag.pl\/?p=4383"},"modified":"2023-07-19T09:29:55","modified_gmt":"2023-07-19T08:29:55","slug":"modemy-exynos-od-samsunga-podatne-na-ataki","status":"publish","type":"post","link":"https:\/\/soc.dag.pl\/modemy-exynos-od-samsunga-podatne-na-ataki\/","title":{"rendered":"Modemy Exynos od Samsunga podatne na ataki"},"content":{"rendered":"<p>Do czasu udost\u0119pnienia aktualizacji zabezpiecze\u0144 u\u017cytkownicy, kt\u00f3rzy chc\u0105 zabezpieczy\u0107 si\u0119 przed lukami w zabezpieczeniach zdalnego wykonania kodu pasma podstawowego w chipsetach Exynos firmy Samsung, mog\u0105 wy\u0142\u0105czy\u0107 w ustawieniach swoich urz\u0105dze\u0144 funkcj\u0119 Wi-Fi calling i Voice-over-LTE (VoLTE). Wy\u0142\u0105czenie tych ustawie\u0144 usunie ryzyko wykorzystania tych podatno\u015bci.<\/p>\n<p>&nbsp;<\/p>\n<p><strong>18 luk<\/strong><\/p>\n<p>Na prze\u0142omie 2022 i 2023 roku Project Zero poinformowa\u0142 o osiemnastu lukach 0-day w modemach Exynos produkowanych przez Samsung Semiconductor. Cztery najpowa\u017cniejsze z tych osiemnastu podatno\u015bci (CVE-2023-24033 i trzy inne podatno\u015bci, kt\u00f3rym jeszcze nie przypisano CVE-ID) pozwala\u0142y na zdalne wykonanie kodu w trybie Internet-to-baseband. Testy przeprowadzone przez Project Zero potwierdzaj\u0105, \u017ce te cztery luki pozwalaj\u0105 napastnikowi na zdalne przej\u0119cie kontroli nad telefonem bez interakcji z u\u017cytkownikiem i wymagaj\u0105 jedynie znajomo\u015bci numeru telefonu ofiary. Przy ograniczonych dodatkowych badaniach i rozwoju, wykwalifikowani napastnicy byliby w stanie szybko stworzy\u0107 exploit operacyjny, kt\u00f3ry pozwoli\u0142by na ciche i zdalne zaatakowanie urz\u0105dze\u0144.<\/p>\n<p>&nbsp;<\/p>\n<p>Czterna\u015bcie innych powi\u0105zanych podatno\u015bci (CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076 i dziewi\u0119\u0107 innych podatno\u015bci, kt\u00f3rym nie przypisano jeszcze identyfikator\u00f3w CVE-ID) nie by\u0142y tak powa\u017cne, poniewa\u017c wymagaj\u0105 albo z\u0142o\u015bliwego operatora sieci kom\u00f3rkowej, albo napastnika z lokalnym dost\u0119pem do urz\u0105dzenia.<\/p>\n<p>&nbsp;<\/p>\n<p><strong>Urz\u0105dzenia, kt\u00f3rych to dotyczy<\/strong><\/p>\n<p><a href=\"https:\/\/semiconductor.samsung.com\/support\/quality-support\/product-security-updates\/\" target=\"_blank\" rel=\"noopener\">Samsung Semiconductor<\/a>\u00a0udost\u0119pnia list\u0119 chipset\u00f3w Exynos, w kt\u00f3rych wyst\u0119puj\u0105 te luki. Na podstawie informacji z publicznych stron internetowych, kt\u00f3re mapuj\u0105 chipsety do urz\u0105dze\u0144, dotkni\u0119te produkty prawdopodobnie obejmuj\u0105:<\/p>\n<ul>\n<li>\u2022 \u00a0 \u00a0Urz\u0105dzenia mobilne firmy Samsung, w tym urz\u0105dzenia z serii S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 i A04;<br \/>\n\u2022 \u00a0 \u00a0Urz\u0105dzenia mobilne od Vivo, w tym z serii S16, S15, S6, X70, X60 i X30;<br \/>\n\u2022 \u00a0 \u00a0Seria urz\u0105dze\u0144 Pixel 6 i Pixel 7 od Google; oraz<br \/>\n\u2022 \u00a0 \u00a0wszelkie pojazdy wykorzystuj\u0105ce chipset Exynos Auto T5123.<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p><strong>Harmonogramy \u0142atek<\/strong><\/p>\n<p>Prawdopodobnie harmonogramy \u0142atania b\u0119d\u0105 si\u0119 r\u00f3\u017cni\u0107 w zale\u017cno\u015bci od producenta (na przyk\u0142ad dotkni\u0119te urz\u0105dzenia Pixel otrzyma\u0142y ju\u017c poprawk\u0119 dla CVE-2023-24033 w aktualizacji bezpiecze\u0144stwa z\u00a0<a href=\"https:\/\/source.android.com\/docs\/security\/bulletin\/pixel\/2023-03-01\" target=\"_blank\" rel=\"noopener\">marca 2023<\/a>). W mi\u0119dzyczasie u\u017cytkownicy urz\u0105dze\u0144 dotkni\u0119tych tym problemem mog\u0105 chroni\u0107 si\u0119 przed lukami w zabezpieczeniach zdalnego wykonania kodu, o kt\u00f3rych mowa w tym po\u015bcie, wy\u0142\u0105czaj\u0105c Wi-Fi calling i Voice-over-LTE (VoLTE) w ustawieniach urz\u0105dzenia. U\u017cytkownicy ko\u0144cowi powinni jak najszybciej zaktualizowa\u0107 swoje urz\u0105dzenia, aby upewni\u0107 si\u0119, \u017ce dzia\u0142aj\u0105 one na najnowszych wersjach, kt\u00f3re usuwaj\u0105 zar\u00f3wno ujawnione, jak i nieujawnione luki bezpiecze\u0144stwa.<\/p>\n<p>&nbsp;<\/p>\n<p><strong>Cztery luki wstrzymane do ujawnienia<\/strong><\/p>\n<p>Zgodnie ze standardow\u0105 polityk\u0105 ujawniania informacji Project Zero ujawnia publicznie luki w zabezpieczeniach w okre\u015blonym czasie po zg\u0142oszeniu ich producentowi oprogramowania lub sprz\u0119tu. W niekt\u00f3rych rzadkich przypadkach, gdy oceniono, \u017ce atakuj\u0105cy skorzystaliby znacznie bardziej ni\u017c obro\u0144cy, gdyby luka zosta\u0142a ujawniona, zrobiono wyj\u0105tek od przyj\u0119tej polityki i op\u00f3\u017aniono ujawnienie luki.<\/p>\n<p>&nbsp;<\/p>\n<p><strong>Powi\u0105zane podatno\u015bci nie s\u0105 ukrywane<\/strong><\/p>\n<p>Z pozosta\u0142ych czternastu b\u0142\u0119d\u00f3w, ujawniono cztery (CVE-2023-26072, CVE-2023-26073, CVE-2023-26074 i CVE-2023-26075), kt\u00f3re przekroczy\u0142y standardowy 90-dniowy termin Projektu Zero. B\u0142\u0119dy te zosta\u0142y publicznie ujawnione w systemie \u015bledzenia b\u0142\u0119d\u00f3w, poniewa\u017c nie spe\u0142niaj\u0105 wysokich standard\u00f3w, aby by\u0107 wstrzymane od ujawnienia. Pozosta\u0142e dziesi\u0119\u0107 b\u0142\u0119d\u00f3w w tym zestawie nie przekroczy\u0142o jeszcze 90-dniowego terminu i zostan\u0105 publicznie ujawnione, je\u015bli nadal nie zostan\u0105 za\u0142atane.<\/p>\n<p>Masz ten modem? Chcesz si\u0119 odpowiednio zabezpieczy\u0107 i unikn\u0105\u0107 ryzyka ataku? Skontaktuj si\u0119 z naszymi specjalistami, kt\u00f3rzy podpowiedz\u0105, co zrobi\u0107 w tej sytuacji.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Do czasu udost\u0119pnienia aktualizacji zabezpiecze\u0144 u\u017cytkownicy, kt\u00f3rzy chc\u0105 zabezpieczy\u0107 si\u0119 przed lukami w zabezpieczeniach zdalnego wykonania kodu pasma podstawowego w chipsetach Exynos firmy Samsung, mog\u0105 wy\u0142\u0105czy\u0107 w ustawieniach swoich urz\u0105dze\u0144 funkcj\u0119 Wi-Fi calling i Voice-over-LTE (VoLTE). Wy\u0142\u0105czenie tych ustawie\u0144 usunie ryzyko wykorzystania tych podatno\u015bci. &nbsp; 18 luk Na prze\u0142omie 2022 i 2023 roku Project Zero [&hellip;]<\/p>\n","protected":false},"author":4,"featured_media":4384,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[57],"tags":[],"class_list":["post-4383","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyber-security"],"_links":{"self":[{"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/posts\/4383"}],"collection":[{"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/comments?post=4383"}],"version-history":[{"count":2,"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/posts\/4383\/revisions"}],"predecessor-version":[{"id":4386,"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/posts\/4383\/revisions\/4386"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/media\/4384"}],"wp:attachment":[{"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/media?parent=4383"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/categories?post=4383"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/soc.dag.pl\/wp-json\/wp\/v2\/tags?post=4383"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}