Samsung งานเข้าเจอรูรั่วในชิปเซ็ต Exynos แค่รู้เบอร์โทรก็แฮกเครื่องได้แล้ว
นักวิเคราะห์ด้านความปลอดภัยของ Google ได้เตือนผู้ใช้อุปกรณ์ที่ใช้ระบบปฏิบัติการแอนดรอยด์ว่า ตรวจพบช่องโหว่แบบ Zero-day หลายจุดในชิปเซ็ต Samsung บางรุ่นอาจทำให้ผู้โจมตีสามารถเข้าถึงและควบคุมสมาร์ทโฟน หรืออุปกรณ์ของผู้ใช้ได้จากระยะไกล ขอเพียงแค่รู้หมายเลขโทรศัพท์เท่านั้น
เรื่องราวนี้เกิดขึ้นเมื่อทีมล่าบั๊ก Project Zero ของ Google ค้นพบและรายงานช่องโหว่แบบ Zero-day 18 รายการในชิปเซ็ต Exynos ของ Samsung ที่ใช้ในอุปกรณ์พกพา อุปกรณ์สวมใส่ และรถยนต์
ข้อบกพร่องด้านความปลอดภัยของโมเด็มในชิปเซ็ต Exynos ถูกรายงานระหว่างปลายปี 2565 ถึงต้นปี 2566 ซึ่ง 4 ใน ใน 18 รายการ ถูกระบุว่าช่องโหว่ที่ร้ายแรง ที่ทำให้แฮกเกอร์สามารถรันโค้ดจากระยะไกลในอุปกรณ์ปลายทางโดยที่ผู้ใช้ไม่รู้ตัว
“การทดสอบที่ดำเนินการโดย Project Zero ยืนยันว่าช่องโหว่ทั้งสี่นี้ทำให้แฮกเกอร์สามารถโจมตีโทรศัพท์ในระดับเบสแบนด์จากระยะไกลโดยไม่ต้องโต้ตอบกับผู้ใช้ และขอเพียงแค่รู้หมายเลขโทรศัพท์ของเหยื่อเท่านั้น”
หนึ่งในข้อบกพร่องร้ายแรงทั้งสี่นี้ได้รับการกำหนดหมายเลข CVE และติดตามเป็น CVE-2023-24033 ส่วนอีกสามรายการกำลังรอกำหนดหมายเลข
Tขณะที่ช่องโหว่อีก 5 รายการประกอบด้วย CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076
อุปกรณ์ที่ได้รับผลกระทบ
อุปกรณ์ที่ใช้ชิปเซ็ต Exynos ของ Samsung นั้น ไม่ได้มีแค่สมาร์ทโฟนหรือแท๊บเล็ตของ Samung เองเท่านั้น แต่ยังครอบคลุมถึงอุปกรณ์ของผู่ผลิตรายอื่นๆ ประกอบด้วย
- สมาร์ทโฟน Samsung ตระกูล S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 และ A04
- สมาร์ทโฟน Vivo ในซีรีส์ S16, S15, S6, X70, X60 และ X30
- สามาร์ทโฟน Google Pixel 6 และ Pixel 7
- อุปกรณ์สวมใส่ที่ใช้ชิปเซ็ต Exynos W920
- ยานพาหนะที่ใช้ชิปเซ็ต Exynos Auto T5123
การแก้ไข
ถึงตอนนี้ Google ได้ออกตัวแก้ไขประจำเดือนมีนาคม เพื่ออุดช่องโหว่ CVE-2023-24033 ที่ส่งผลต่ออุปกรณ์ Pixel แล้ว
ในส่วนของ Samsung เอง ขณะนี้บริษัทได้ออกตัวอัปเดทเพื่ออุดช่องโหว่นี้แล้วเช่นกัน และได้ส่งให้ผู้ผลิตรายอื่นที่ใช้ชิปเซ็ต Exynos แล้ว แต่แพตช์ดังกล่าวยังไม่เปิดเผยต่อสาธารณะและผู้ใช้ทั่วไปยังไม่สามารถแก้ไขได้ด้วยตัวเอง
ขณะที่อุปกรณ์ของผู้ผลิรายอื่นที่ยังไม่มีการออกตัวแก้ไขออกมา ผู้เชี่ยวชาญของ Google แนะนำให้ปิดการโทรผ่าน Wi-Fi และ Voice-over-LTE (VoLTE) เพื่อป้องกันการเรียกใช้รหัสเบสแบนด์จากระยะไกล
ที่มา : Theregister, Bleepingcomputer