Enkele maanden gelededn rapporteerde Project Zero achttien Zero-day-kwetsbaarheden in Exynos-modems van Samsung. De vier meest risicovolle maakten het uitvoeren van internet-naar-baseband externe code mogelijk. Die modems zitten onder andere in de Galaxy S22, A53, A33 en nog enkele (populaire) Samsung smartphones. Maar ook in toestellen van Vivo en de Pixel 6 en 7-modellen van Google. Een volledige lijst staat onderaan dit artikel.

Toestel hacken met alleen het telefoonnummer

Tests bevestigen dat deze vier kwetsbaarheden een aanvaller in staat stellen om op afstand een telefoon op basisbandniveau te compromitteren zonder tussenkomst van de gebruiker. De betreffende hacker heeft daarvoor alleen maar het telefoonnummer van het slachtoffer nodig.

Met beperkt aanvullend onderzoek en ontwikkeling zijn de Zero-day-experts van mening dat bekwame aanvallers snel een operationele exploit kunnen maken om getroffen apparaten geruisloos en op afstand te hacken.

De betreffende kwetsbaarheden zijn nog niet allemaal voorzien van een codenummer. Alleen CVE-2023-24033, die door Google al gefixed is in haar eigen toestellen, is ‘genummerd’.

Er wordt gewerkt aan een fix

Google verwacht dat de bugfixes voor deze kwetsbaarheden met de komende security updates uitgerold gaan worden. Echter, de beschikbaarheid van die updates verschillen per fabrikant zullen. Zo zijn de Pixel smartphones inmiddels al voorzien van een fix voor CVE-2023-24033 ontvangen. Dat gebeurde met de beveiligingsupdate van maart 2023.

“In de tussentijd kunnen gebruikers met deze toestellen zichzelf beschermen tegen de kwetsbaarheden voor het uitvoeren van externe code in de basisband die in dit bericht worden genoemd door bellen via wifi en Voice-over-LTE (VoLTE) uit te schakelen in hun apparaatinstellingen. Zoals altijd moedigen we eindgebruikers aan om hun apparaten zo snel mogelijk bij te werken, om ervoor te zorgen dat ze de nieuwste builds gebruiken die zowel bekende als niet-openbaar gemaakte beveiligingsproblemen oplossen”, aldus Google.

Samsung heeft een lijst gepubliceerd waarop alle toestellen staan die voorzien zijn van de betreffende Exynos chips:

• -Samsung: S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 en A04;
• -Vivo: S16-, S15-, S6-, X70-, X60- en X30-serie;
• -De Pixel 6- en Pixel 7-serie van Google;
• -Alle wearables die de Exynos W920-chipset gebruiken;
• -Alle voertuigen die de Exynos Auto T5123-chipset gebruiken.