In Androidtelefoons die gebruikmaken van een Samsung Exynos-modem bevinden zich meerdere kwetsbaarheden waardoor de toestellen op afstand zijn over te nemen. Een aanvaller hoeft alleen het telefoonnummer van het doelwit te weten, interactie van de gebruiker is niet vereist. Beveiligingsupdates om de problemen te verhelpen zijn niet beschikbaar. Gebruikers die zich willen beschermen worden aangeraden om bellen via wifi en Voice-over-LTE (VoLTE) uit te schakelen. Dat meldt Google.

Het Project Zero-team van het techbedrijf ontdekte achttien kwetsbaarheden in Exynos-modems van Samsung. Vier van de achttien kwetsbaarheden maken internet-to-baseband remote code execution mogelijk. Daarbij is het mogelijk om een Androidtelefoon op afstand over te nemen waarbij de aanvaller alleen het telefoonnummer van het doelwit moet weten. Interactie van de gebruiker is niet vereist. Vooralsnog heeft één van de vier kwetsbaarheden een CVE-nummer gekregen, namelijk CVE-2023-24033.

"Met beperkt aanvullend onderzoek en ontwikkeling, denken we dat ervaren aanvallers snel een operationele exploit zouden kunnen maken om telefoons in kwestie heimelijk en op afstand over te nemen", zegt Tim Willis van Google Project Zero. Het gaat onder andere om telefoons van Samsung (S22, M33, M13, M12, A71, A53, A33, A21, A13, A12 en A04), Vivo (waaronder de S16, S15, S6, X70, X60 en X30), de Pixel 6 en Pixel 7 van Google, wearables met de Exynos W920-chipset en voertuigen met de Exynos Auto T5123-chipset.

Google verwacht dat het verschijnen van beveiligingsupdates per fabrikant verschilt. Voor kwetsbare Pixel-telefoons is CVE-2023-24033 met de patchronde van maart al verholpen. Normaliter maakt Google details over kwetsbaarheden negentig dagen nadat het de fabrikant heeft ingelicht openbaar. Vanwege de impact van de vier kwetsbaarheden en dat aanvallers hier vermoedelijk zeer snel misbruik van kunnen maken heeft Google nu besloten om van het eigen beleid af te wijken en vooralsnog geen details openbaar te maken.