Săptămâna aceasta Samsung a lansat un patch de securitate ce repară o vulnerabilitate critică ce este prezentă pe toate smartphone-urile sale vândute din 2014 încoace. Problema e legată de modul în care implementarea Android a Samsung tratează formatul Qmage (.qmg) – conform lui Mateusz Jurcyk din cadrul Project Zoero al Google, biblioteca Skia din sistemul de operare Android de pe aparatele Samsung are o problemă în modul în care tratează acest format de imagini.
Din păcate pentru Samsung, vulnerabilitatea poate fi exploatată fără ca utilizatorul să facă nimic: asta se întâmplă ca urmare a faptului că orice imagine ajunsă pe smartphone este trimisă de către sistemul de operare către biblioteca Skia pentru a fi interpretată și așa se generează automat thumbnail-urile. Mateusz a făcut și un exploit care arată ce se întâmplă când aplicația Samsung Messages (aplicația implicită de management pentru SMS-uri și MMS-uri) primește o imagine Qmage special creată să exploateze vulnerabilitatea:
În principiu, în mai puțin de 100 de minute se pot trimite cam 300 de mesaje MMS care în final reușesc să exploateze vulnerabilitatea. Dacă atacul realizat de Mateusz este oarecum invaziv, e bine de știut că este doar un demo, existând deja mai multe căi de atac mult mai silențioase, care pot compromite aparatele fără ca utilizatorii să își dea seama.
Vulnerabilitatea în cauză este identificată cu SVE-2020-16747 în baza de date Samsung, respectiv CVE-2020-8899 în cea Mitre CVE. Vestea bună este că Samsung a reparat problema în patch-urile de firmware ce conțin patch-urile de securitate din luna mai 2020, doar că acestea vor ajunge pe un număr foarte mic de smartphone-uri aflate în funcțiune.
Așa că dacă sunteți posesori de aparate Samsung puneți mâna și faceți rapid update, asta în ideea că smartphone-ul vostru este încă eligibil de așa ceva.
Mai multe detalii găsiți aici.
