三星 Exynos 芯片组爆出18个零日漏洞,影响多款产品

发布时间 2023-03-17

Bleeping Computer 网站披露,谷歌 Project Zero 安全团队在三星用于移动设备、可穿戴设备和汽车的Exynos 芯片组中发现了 18 个漏洞,包括 Pixel 6 系列、Pixel 7 系列、三星 Galaxy S22 系列和 Galaxy A53 等产品均受影响。


Exynos 芯片组中的安全漏洞发生在 2022 年末至 2023 年初,其中四个被评为高危漏洞,允许攻击者从互联网到基带执行远程代码。这些互联网到基带远程代码执行(RCE)漏洞(包括 CVE-2023-24033 和其它三个仍在等待 CVE-ID的漏洞)允许攻击者在没有任何用户交互的情况下,远程危害易受攻击的设备。


三星在一份描述 CVE-2023-24033 漏洞的安全咨询中表示,基带软件没有正确检查 SDP 指定接受的格式类型,可能导致三星基带调制解调器中的拒绝服务或代码执行。


Project Zero 安全团队负责人 Tim Willis 指出,潜在攻击者只要有受害者的电话号码,就可以发动袭击。更糟糕的是,只要稍微认真研究一下,经验丰富的攻击者便可以在不引起目标注意的情况下,轻而易举的利用漏洞远程攻击易受攻击的设备。


其余 14个 漏洞主要包括 CVE-2023-24072、CVE-2023-204073、CVE-202 3-24074、CVE-2022 3-24075、CVE-2020 3-24076 以及其它 9 个等待 CVE ID 的漏洞,虽然这些漏洞不会造成很严重的后果,但仍存在安全风险。