El equipo de investigación Project Zero ha informado sobre dieciocho vulnerabilidades de tipo Zero Day encontradas en los módems Exynos producidos por Samsung Semiconductor. Estas fallas fueron reveladas durante el mes de diciembre de 2022 y enero de 2023.
Vulnerabilidades críticas
Cuatro de las vulnerabilidades permiten la ejecución remota de código desde Internet-to baseband. Estas fallas podrían ser explotadas para comprometer un teléfono a nivel de baseband sin necesidad de interacción del usuario. Solo se requiere que el atacante conozca el número de teléfono de la víctima.
Posible explotación remota
Se espera que en breve aparezcan exploits capaces de comprometer dispositivos afectados de manera silenciosa y remota. El equipo Project Zero retenió temporalmente la divulgación de cuatro de las vulnerabilidades más graves debido al nivel de acceso que proporcionan y a la rapidez con que se cree que se podría crear un exploit operativo confiable.
Vulnerabilidades menos críticas
Otras catorce vulnerabilidades no son tan graves, ya que su explotación requeriría la intervención de un operador de red móvil malicioso o acceso local al dispositivo. Las cinco vulnerabilidades que han superado la fecha límite estándar de 90 días se han hecho públicas.
Vulnerabilidades reveladas
- CVE-2023-26072
- CVE-2023-26073
- CVE-2023-26074
- CVE-2023-26075
- CVE-2023-26076
Las nueve vulnerabilidades restantes se divulgarán públicamente si no se corrigen en el plazo de 90 días.
Dispositivos afectados
Los dispositivos afectados incluyen los móviles de Samsung, Vivo y Google, así como wearables y vehículos que utilicen los chipsets Exynos. Los modelos específicos mencionados son: series S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 y A04 de Samsung; series S16, S15, S6, X70, X60 y X30 de Vivo; series Pixel 6 y Pixel 7 de Google; dispositivos portátiles que usen el conjunto de chips Exynos W920; vehículos que usen el conjunto de chips Exynos Auto T5123.
Recomendaciones de mitigación
Se recomienda desactivar la función de llamadas Wi-Fi y voz sobre LTE en la configuración del dispositivo. Los usuarios deben actualizar los dispositivos lo antes posible para corregir las vulnerabilidades de seguridad conocidas y desconocidas.