Polak odkrył lukę w smartfonach Samsunga. Pozwalała uruchomić złośliwy kod przez MMS-y

Polak odkrył lukę w smartfonach Samsunga. Pozwalała uruchomić złośliwy kod przez MMS‑y

Luka w Samsungach została wykryta przez Polaka, fot. Pixabay
Luka w Samsungach została wykryta przez Polaka, fot. Pixabay
Oskar Ziomek
07.05.2020 11:43, aktualizacja: 07.05.2020 13:16

W smartfonach Samsunga znaleziono krytyczną lukę, która pozwalała wykonać złośliwy kod w nietypowy sposób, bo za pośrednictwem MMS-ów. To poważna usterka, którą wykryto jeszcze w styczniu, ale dopiero teraz udało się z nią rozprawić. Problem dotyczy znakomitej większości współczesnych modeli Galaxy – w praktyce wszystkich, które pojawiły się na rynku od 2015 roku. Co interesujące, odkrył ją Polak pracujący w zespole Google Project Zero – Mateusz Jurczyk, który znany jest jako j00ru.

Problemem okazała się biblioteka Skia i jej obsługa grafik klasy Qmage. Właściciel smartfona Samsunga, który dostał odpowiednio przygotowanego MMS-a, mógł w efekcie nieświadomie uruchomić złośliwy kod, który pozwalał atakującemu "przejąć urządzenie" i na przykład przeglądać jego zawartość. Całość mogła się odbywać bez wiedzy odbiorcy – wystarczył sam fakt otrzymania spreparowanego MMS-a.

Exploitation of a Samsung Galaxy Note 10+ Zero-Click RCE Bug via MMS

Luka otrzymała oznaczenie CVE-2020-8899, a przez samego Samsunga została ostatecznie oznaczona jako SVE-2020-16747. Łatki zostały już wydane, ale siłą rzeczy nie trafią do wszystkich smartfonów w tym samym czasie. Jak zauważył Sekurak, podczas badania podatności Jurczyk przetestował 20 smartfonów Samsunga. Na powyższym filmie można zobaczyć sposób jej wykorzystania na przykładzie Samsunga Galaxy Note 10+.

Luka w Samsungach – jak się zabezpieczyć?

Opisywaną lukę wykryto kilka miesięcy temu i została załatana przez Samsunga w ramach majowego pakietu zabezpieczeń do smartfonów. Niestety nie oznacza to jednocześnie, że każde urządzenie z serii Galaxy jest już bezpieczne. Comiesięczne aktualizacje bezpieczeństwa są bowiem wydawane głównie w przypadku najnowszych smartfonów. Właściciele kilkuletnich modeli muszą poczekać dłużej. Najstarsze mogą zostać w ogóle niezaktualizowane.

Bezpieczni są użytkownicy, którzy korzystają już z majowych aktualizacji. Tam krytyczna luka SVE-2020-16747 została załatana. O ile nie zrezygnowali z automatycznego wgrywania łatek, ich Samsungi z serii S20, S10, S9 czy Note 10 (oraz kilka innych) powinny być już bezpieczne.

Opcje aktualizacji na przykładzie Samsunga Galaxy A5 (2017). Tutaj wciąż tylko poprawki z lutego 2020 roku, fot. Oskar Ziomek.
Opcje aktualizacji na przykładzie Samsunga Galaxy A5 (2017). Tutaj wciąż tylko poprawki z lutego 2020 roku, fot. Oskar Ziomek.

Aby się upewnić, należy zajrzeć do ustawień smartfona i sekcji dotyczącej aktualizacji oprogramowania. Tutaj można sprawdzić stan zabezpieczeń systemu, a w przypadku braku automatycznych aktualizacji, wymusić ręczne pobranie najnowszych łatek. Zależnie od sprawności konkretnego urządzenia, aktualizacja nie powinna zająć dłużej niż kilka minut.

Aktualizacja smartfonów Samsunga

Samsung aktualizuje swoje smartfony według konkretnego harmonogramu, o którym można przeczytać na oficjalnej stronie. Najnowsze, topowe urządzenia dostają comiesięczne łatki bezpieczeństwa. Mogą na nie liczyć między innymi użytkownicy Samsunga Galaxy Fold, Z Flip, S9/S9+, S10e/S10/S10+, S20/S20+/S20, Note 8, Note 9 oraz z serii Note 10.

Nie wszystkie smartfony Samsunga otrzymują dziś comiesięczne aktualizacje, źródło: Samsung Mobile Security.
Nie wszystkie smartfony Samsunga otrzymują dziś comiesięczne aktualizacje, źródło: Samsung Mobile Security.

Starsze oraz średniopółkowe modele również są aktualizowane regularnie, ale tylko co kwartał. Do tej grupy zalicza się między innymi Samsung Galaxy S8/S8+, wiele modeli z serii Galaxy A oraz Galaxy J, a także tablety. Niektóre smartfony są aktualizowane jeszcze innym trybem – można jednak założyć, że w tym przypadku w końcu odstaną aktualizację, bowiem luka jest poważna.

Programy

Zobacz więcej
Źródło artykułu:www.dobreprogramy.pl
Oceń jakość naszego artykułuTwoja opinia pozwala nam tworzyć lepsze treści.
Wybrane dla Ciebie
Komentarze (43)