חוקר אבטחה מ“פרויקט זירו” (Project Zero), קבוצת חוקרי אבטחה השייכת לגוגל, חשף מידע על פרצת Zero-Click חמורה במיוחד במכשירי האנדרואיד השונים של חברת סמסונג (Samsung) מהדגמים שהוצגו מאז שנת 2014 ועד היום, אשר קשורה לאופן בו המערכת קוראת תמונות מסוג Qmage. הפרצה קיבלה את דירוג ה-CVSS הגבוה ביותר של 10, המקטלג אותה כפרצה קריטית. סמסונג כבר הספיקה להציג תיקון לפרצה.
פרצת האבטחה החמורה מנצלת את התמיכה שיש מכשירי סמסונג בתמונות Qmage, ובאופן בו ה-Sika, ספריית עיבוד התמונות במכשירי האנדרואיד, מעבדת את קבצי התמונות הללו עוד לפני שהמשתמש פתח אותם כלל, מה שמאפשר למעשה לבצע פריצה במכשיר ללא התערבות או ידיעת המשתמש על ידי שליחת הודעת MMS זדונית.
חוקר האבטחה מטיאוש יורצ’ק (Mateusz Jurczyk), אחד מחוקרי גוגל שגילו את הפרצה, הצליח להדגים כיצד על ידי שליחת הודעת MMS זדונית מרובות (50~300) למכשיר סמסונג ניתן לגלות את כתובת מיקום ספריית ה-Skia בזיכרון מכשיר הסלולר ועל ידי קבלת הכתובת לעקוף את מנגנון ה-ASLR (ר”ת Address Space Layout Randomization) שנועד להגן ממתקפות דומות לזו.
בהדגמה ניתן לראות משלוח הודעות MMS למכשיר סמסונג באופן בו המשתמש איננו מודע לכך כי הוא מקבל אותן, ולאחר פרק זמן ארוך למדי הקוד מצליח לאתר את מיקום ספריית ה-Sika, מה שמאפשר לתוקף זדוני יכולת להריץ קוד מרחוק. בדוגמה של חוקר האבטחה הוא מפעיל את המחשבון במכשיר.
פרצת האבטחה החדשה שקיבלה את קודי הזיהוי CVE-2020-8899 ו-SVE-2020-16747, דווחה לסמסונג ב-28 בינואר ותוקנה כחלק מעדכון האבטחה של חודש מאי אותו הפיצה סמסונג, כאשר התיקון המיועד יהיה זמין כחלק מעדכוני מערכות האנדרואיד 8, 9 ו-10 אך לא גרסאות קודמות יותר.
עוקבים? כל החדשות מגאדג'טי
חלק מהפוסטים באתר כוללים קישורי תכניות שותפים, עבורם נקבל עמלה עם ביצוע רכישה בפועל של מוצרים. עמלה זו לא מייקרת את העלות הסופית של המוצרים עבורכם.
הסקירות והתכנים המופיעים באתר מהווים המלצה בלבד, וכך יש להתייחס אליהם. כל המחירים המופיעים באתר נכונים ליום הפרסום בלבד והאחריות לקניית מוצר או שירות כזה או אחר מוטלת עליך בלבד – השימוש באתר בהתאם לתנאי השימוש והפרטיות.