聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

谷歌零日项目组从三星的Exynos芯片集中发现并报告了18个0day漏洞，这些芯片集用于移动设备、可穿戴设备和车辆中。

这些漏洞由安全研究员在2022年年末至2023年年初期间发现。其中4个漏洞最为严重，可导致从Internet到基带的远程代码执行后果。这些RCE漏洞（包括CVE-2023-24033和其它3个尚未获得编号的漏洞）可导致攻击者在无需用户交互的情况下远程攻陷易受攻击的设备。

三星在说明CVE-2023-24033的安全公告中指出，“该基带软件并未正确检查SDP制定的accept-type属性的格式类型，从而导致在三星基带调制解调器中实现拒绝服务或代码执行后果。”攻击者触发漏洞所需的唯一信息是受害者的电话号码。更糟糕的是，稍微做一些研究，有经验的攻击者就能轻松创建一个exploit，在无需出发目标注意力的前提下攻陷易受攻击的设备。

谷歌零日项目组的负责人Tim Willis提到，“鉴于这些漏洞提供的访问权限和可靠操作exploit可构造的速度的稀有性，我们决定延迟4个可导致从Internet到基带的远程代码执行后果的漏洞。”

余下的14个漏洞（包括CVE-2023-24072、CVE-2023-24073、CVE-2023-24074、CVE-2023-24075、CVE-2023-24076和其它9个未分配编号的漏洞）虽然没有上述4个漏洞严重，但仍然可带来风险。成功利用这些漏洞要求本地访问权限或恶意的移动网络运营商。

从三星提供的受影响芯片集来看，受影响设备包括但可能不仅限于：

 三星移动设备，包括S22、M33、M13、M12、A71、A53、A33、A21、A13、A12和A04系列。

谷歌Pixel 6和Pixel 7系列。

使用Exynos W920芯片集的任何可穿戴设备。

使用Exynos Auto T5123芯片集的任何车辆。

应变措施

虽然三星已向其它厂商提供影响芯片集的漏洞安全更新，但补丁尚未公开，并非所有受影响用户均可应用这些补丁。

虽然每个制造商的设备补丁时间线各不相同，不过谷歌已在2023年三月安全更新中发布了受影响 Pixel 设备的CVE-2023-24033的解决方案。不过在补丁可用前，用户可禁用WiFi 呼叫和VoLTE删除共计向量，阻止针对三星Exynos芯片集的基带RCE利用尝试。

三星证实了零日项目组的应变措施，提到，“用户可禁用WiFi呼叫和VoLTE，缓解该漏洞的影响。我们建议终端用户尽快更新设备，确保运行修复了已披露和未披露漏洞的最新版本。”

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

奇安信入选全球《软件成分分析全景图》代表厂商

GoAnywhere 0day的首个受害者出现，CHS百万病患数据受影响

苹果紧急修复已遭利用的 WebKit 0day

苹果修复已遭利用的第10个0day

【BlackHat】利用多个0day将安全产品转变为擦除器

原文链接

https://www.bleepingcomputer.com/news/security/google-finds-18-zero-day-vulnerabilities-in-samsung-exynos-chipsets/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~