Polak odkrył lukę w smartfonach Samsunga. Pozwalała uruchomić złośliwy kod przez MMS-y

W smartfonach Samsunga znaleziono krytyczną lukę, która pozwalała wykonać złośliwy kod w nietypowy sposób, bo za pośrednictwem MMS-ów. To poważna usterka, którą wykryto jeszcze w styczniu, ale dopiero teraz udało się z nią rozprawić. Problem dotyczy znakomitej większości współczesnych modeli Galaxy – w praktyce wszystkich, które pojawiły się na rynku od 2015 roku. Co interesujące, odkrył ją Polak pracujący w zespole Google Project Zero – Mateusz Jurczyk, który znany jest jako j00ru.

Problemem okazała się biblioteka Skia i jej obsługa grafik klasy Qmage. Właściciel smartfona Samsunga, który dostał odpowiednio przygotowanego MMS-a, mógł w efekcie nieświadomie uruchomić złośliwy kod, który pozwalał atakującemu "przejąć urządzenie" i na przykład przeglądać jego zawartość. Całość mogła się odbywać bez wiedzy odbiorcy – wystarczył sam fakt otrzymania spreparowanego MMS-a.

Luka otrzymała oznaczenie CVE-2020-8899, a przez samego Samsunga została ostatecznie oznaczona jako SVE-2020-16747. Łatki zostały już wydane, ale siłą rzeczy nie trafią do wszystkich smartfonów w tym samym czasie. Jak zauważył Sekurak, podczas badania podatności Jurczyk przetestował 20 smartfonów Samsunga. Na powyższym filmie można zobaczyć sposób jej wykorzystania na przykładzie Samsunga Galaxy Note 10+.

Opisywaną lukę wykryto kilka miesięcy temu i została załatana przez Samsunga w ramach majowego pakietu zabezpieczeń do smartfonów. Niestety nie oznacza to jednocześnie, że każde urządzenie z serii Galaxy jest już bezpieczne. Comiesięczne aktualizacje bezpieczeństwa są bowiem wydawane głównie w przypadku najnowszych smartfonów. Właściciele kilkuletnich modeli muszą poczekać dłużej. Najstarsze mogą zostać w ogóle niezaktualizowane.

Bezpieczni są użytkownicy, którzy korzystają już z majowych aktualizacji. Tam krytyczna luka SVE-2020-16747 została załatana. O ile nie zrezygnowali z automatycznego wgrywania łatek, ich Samsungi z serii S20, S10, S9 czy Note 10 (oraz kilka innych) powinny być już bezpieczne.

Aby się upewnić, należy zajrzeć do ustawień smartfona i sekcji dotyczącej aktualizacji oprogramowania. Tutaj można sprawdzić stan zabezpieczeń systemu, a w przypadku braku automatycznych aktualizacji, wymusić ręczne pobranie najnowszych łatek. Zależnie od sprawności konkretnego urządzenia, aktualizacja nie powinna zająć dłużej niż kilka minut.

Samsung aktualizuje swoje smartfony według konkretnego harmonogramu, o którym można przeczytać na oficjalnej stronie. Najnowsze, topowe urządzenia dostają comiesięczne łatki bezpieczeństwa. Mogą na nie liczyć między innymi użytkownicy Samsunga Galaxy Fold, Z Flip, S9/S9+, S10e/S10/S10+, S20/S20+/S20, Note 8, Note 9 oraz z serii Note 10.

Starsze oraz średniopółkowe modele również są aktualizowane regularnie, ale tylko co kwartał. Do tej grupy zalicza się między innymi Samsung Galaxy S8/S8+, wiele modeli z serii Galaxy A oraz Galaxy J, a także tablety. Niektóre smartfony są aktualizowane jeszcze innym trybem – można jednak założyć, że w tym przypadku w końcu odstaną aktualizację, bowiem luka jest poważna.