Investigadores identificaron una vulnerabilidad crítica en el decodificador de Monkey's Audio (APE) utilizado por dispositivos Samsung con Android 12, 13 y 14. La falla está catalogada como CVE-2024-49415 y tiene una puntuación CVSS de 8.1.
Descubrimiento y características técnicas
La vulnerabilidad se debe a un problema de escritura fuera de los límites en la biblioteca libsaped.so. La investigadora de Google Project Zero, Natalie Silvanovich, descubrió esta vulnerabilidad. Esta vulnerabilidad podría permitir la ejecución remota de código malicioso.
Vector de ataque y escenario
El vector de ataque se activa cuando la aplicación Google Messages está configurada para utilizar servicios de comunicación enriquecida (RCS), que es la configuración predeterminada en modelos como los Galaxy S23 y S24. El servicio de transcripción de mensajes decodifica localmente los audios entrantes antes de que el usuario los abra, lo que facilita la explotación de la vulnerabilidad.
Exploit técnico
La función saped_rec en libsaped.so escribe en un búfer de tamaño fijo asignado por el servicio de medios C2. Un archivo APE manipulado con un valor elevado de blocksperframe puede desbordar este búfer, permitiendo la ejecución de código malicioso.
Impacto potencial
En un escenario de ataque, un adversario podría enviar un mensaje de audio especialmente diseñado a un dispositivo objetivo con RCS habilitado. Esto provocaría que el proceso de codificación de medios (samsung.software.media.c2) se bloquee o ejecute código arbitrario.
Corrección y mitigación
Samsung abordó esta vulnerabilidad en su actualización de seguridad de diciembre de 2024, instando a los usuarios a actualizar sus dispositivos para mitigar posibles riesgos. Samsung corrigió otra vulnerabilidad de gran severidad en SmartSwitch (CVE-2024-49413), que permitía a atacantes locales instalar aplicaciones maliciosas debido a una verificación inadecuada de firmas criptográficas.