Varios Los teléfonos Android populares con chips Exynos fabricados por Samsung tienen un agujero de seguridad que podría dar a los piratas informáticos una cantidad aterradora de control sobre los dispositivos.
Project Zero, un equipo de analistas de seguridad de Google que tiene como objetivo proteger a las personas de los ataques dirigidos, ha encontrado dieciocho vulnerabilidades de día cero en los módems Exynos. Una vulnerabilidad de día cero es una falla que antes era desconocida para el proveedor del producto.
Cuatro vulnerabilidades podrían facilitar el acceso de los piratas informáticos a los teléfonos afectados
Las fallas se descubrieron entre fines de 2022 y principios de 2023 y cuatro de ellas permitieron la ejecución remota de código de Internet a banda base. Un atacante solo necesitaría el número de teléfono de alguien para explotar esta vulnerabilidad y comprometer el teléfono de la víctima de forma silenciosa y remota.
Las pruebas realizadas por Project Zero confirman que esas cuatro vulnerabilidades permiten a un atacante comprometer de forma remota un teléfono a nivel de banda base sin interacción del usuario, y solo requieren que el atacante sepa el número de teléfono de la víctima. Con investigación y desarrollo adicionales limitados, creemos que los atacantes expertos podrían crear rápidamente un exploit operativo para comprometer los dispositivos afectados de forma silenciosa y remota». – Tim Willis, Project Zero
Las vulnerabilidades relacionadas restantes no son tan graves y requerirían un operador de red móvil malicioso o acceso directo a un dispositivo.
Smartphones y relojes afectados
Samsung es consciente del error de Exynos
De acuerdo a En el sitio web de Samsung, las vulnerabilidades están en sus conjuntos de chips Exynos Modem 5123 y Exynos Modem 5300, y Exynos 980 y Exynos 1080 (a través de 9to5Google). Estos chips se encuentran en los siguientes dispositivos:
- Samsung Galaxy S22 (solo las variantes con tecnología Exynos vendidas en el Reino Unido y Europa), a71, A53, A33, Serie A21s, A13, A12, A04, M33, M13 y M12
- Samsung Galaxy reloj 5 y reloj 4
- Serie Vivo S16, S15, S6, X70, X60 y X30
- Google Pixel 7 duo, gama Pixel 6 y Pixel 6a
La actualización de software de marzo para Pixel 7 abordó la vulnerabilidad más grave, CVE-2023-24033. Según los informes, Pixel 6 y 6a recibirán la actualización a finales de este mes. Los dispositivos Samsung y Vivo permanecen desprotegidos, a pesar de que Samsung fue alertado sobre el problema hace 90 días.
El investigador de Project Zero dice que Samsung fue alertado sobre el problema hace mucho tiempo
Project Zero advierte que hasta que se implemente una solución, los usuarios que deseen proteger sus dispositivos de las vulnerabilidades de ejecución remota de código de banda base deben desactivar las llamadas Wi-Fi y Voice-over-LTE (VoLTE).
Dado que los cuatro errores críticos son fáciles de explotar, Project Zero ha decidido hacer una excepción a su política de divulgación y no revelará detalles adicionales que puedan facilitar el trabajo de un hacker.