Múltiples Vulnerabilidades Permiten RCE En “Baseband Remote Exynos Modems”

El pasado mes de diciembre de 2022 y enero de 2023, el equipo de Project Zero informó de dieciocho vulnerabilidades de “Zero Day (0-day)” en los módems Exynos producidos por “Samsung Semiconductor”.

Cuatro de estas vulnerabilidades permiten la ejecución remota de código de Internet-to baseband. Las pruebas realizadas por el equipo Project Zero confirmaron que estos errores permiten a un atacante comprometer un teléfono a nivel de baseband sin interacción del usuario y solo requieren que el atacante conozca el número de teléfono de la víctima. Se espera que en breve empecemos a ver exploits que permitan comprometer dispositivos afectados de manera silenciosa y remota.

Catorce vulnerabilidades relacionadas no fueron tan graves, ya que requerían la intervención de un operador de red móvil malicioso o un atacante con acceso local al dispositivo. Las asesorías de Samsung Semiconductor proporcionan una lista de los chipsets Exynos afectados por estas vulnerabilidades.

Los dispositivos afectados probablemente incluyen dispositivos móviles de Samsung, Vivo, Google y wearables y vehículos que utilizan los chipsets Exynos.

Se espera que los plazos de parcheo varíen según el fabricante, y los usuarios pueden protegerse de estas vulnerabilidades desactivando la función de llamadas Wi-Fi y voz sobre LTE en la configuración de su dispositivo. Se recomienda a los usuarios actualizar sus dispositivos lo antes posible para corregir las vulnerabilidades de seguridad conocidas y desconocidas.

El equipo de Project Zero ha retenido temporalmente la divulgación de cuatro de las vulnerabilidades más graves debido al nivel de acceso que proporcionan y la rapidez con que se cree que se podría crear un exploit operativo confiable. Sin embargo, otras cinco vulnerabilidades que han superado la fecha límite estándar de 90 días se han hecho públicas, y las nueve vulnerabilidades restantes se divulgarán públicamente si no se corrigen en el plazo de 90 días.

Vulnerabilidades hechas públicas. (CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 y CVE-2023-26076)

Dispositivos afectados:

Dispositivos móviles de Samsung, incluidos los de las series S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 y A04;
Dispositivos móviles de Vivo, incluidos los de las series S16, S15, S6, X70, X60 y X30;
Las series de dispositivos Pixel 6 y Pixel 7 de Google;
Cualquier dispositivo portátil que use el conjunto de chips Exynos W920;
Cualquier vehículo que use el conjunto de chips Exynos Auto T5123.

Más información