Polak pracujący w Google’u odkrył lukę w smartfonach Samsunga. Producent ją załatał
Smartfony marki Samsung wyprodukowane po 2015 r. miały dziurę w zabezpieczeniach wiadomości MMS. Odkrył ją Polak pracujący w Google’u.
MMS-y to leciwa technologia, która w tym roku osiąga pełnoletność, a pomimo boomu na komunikatory internetowe nadal jest w użyciu. Funkcję wysyłania i odbierania wiadomości multimedialnych mają zaimplementowaną wszystkie smartfony.
Problem w tym, że w przypadku smartfonów marki Samsung w funkcji MMS już pięć lat temu pojawiła się dziura. Odkrył ją dopiero teraz polski badacz bezpieczeństwa zatrudniony w Google’u, który posługuje się pseudonimem j00ru.
Jak podaje serwis Niebezpiecznik, błąd wykryty przez j00ru został opisany kodem CVE-2020-8899 i obecny był we wszystkich telefonach koreańskiej firmy wyprodukowanych w ostatnich pięciu latach. Cyberprzestępcy mogli go wykorzystać, by zdalnie przejąć kontrolę nad urządzeniem. Usterka, która dotyczyła formatu Qmage (QM, QG) w bibliotece Skia, była dość poważna.
Jak można przeczytać na stronie opisującej exploit, problem wynikał z tego, że Samsung w swoich telefonach dodał najpewniej w drugiej połowie 2014 r. obsługę kilku dodatkowych formatów graficznych poza takimi jak BMP, JPEG, PNG, WEBP, HEIF czy DNG (RAW) w ramach Skia. Wśród nich były właśnie QM i QG, których kolejne wersje pojawiały się na przestrzeni lat:
- QM (1), "QM\x01" — Android 4.4.4, 2014 r.;
- QG (1.0), "QG\x01\x00" — Android 5.0, 2015 r.;
- QG (1.1), "QG\x01\x01" — Android 6.0, 2016 r.;
- QG (2.0), "QG\x02\x00" — Android 10.0, styczeń 2020 r. (łatka bezpieczeństwa dla Galaxy NOte 10+).
Nie byłoby w tym zaś nic złego, gdyby nie to, że kod pochodzący ze wszystkich wersji obecny jest w systemie, (chociaż nie wszędzie działa poprawnie), a w wyniku luki odpowiednio spreparowany obrazek mógł pozwolić na zdalne przejęcie dostępu do urządzenia np. poprzez protokół MMS. To jeden z wektorów ataku, który działał bez żadnej akcji ze strony użytkownika.
Samsung załatał lukę CVE-2020-8899.
Majowe łatki bezpieczeństwa do systemu Android, które kilka dni temu trafiły do użytkowników nadal wspieranych smartfonów marki Samsung, rozwiązują problem z obsługą obrazków w formacie Qmage, a tym samym wspomnianym atakiem za pośrednictwem protokołu MMS. Osoby, które wgrają aktualizację, nie powinny się już obawiać tego konkretnego exploita.
W przypadku użytkowników, którzy mają starsze smartfony bez dostępu do łatek bezpieczeństwa, rozsądnym krokiem będzie całkowite wyłączenie MMS-ów, co zamknie przynajmniej ten wektor ataku. Można też skorzystać z funkcji otwierania treści wiadomości multimedialnych nie bezpośrednio w urządzeniu, a na stronie internetowej operatora.
