Security Week 2503: атака zero-click на смартфоны Samsung

В конце прошлого года компания Samsung закрыла уязвимость, теоретически открывающую возможность проведения атаки на смартфоны компании без ведома пользователя. Недостаточный уровень контроля за входящим контентом в штатном мессенджере мог привести к переполнению буфера. Уязвимость была обнаружена экспертом из команды Google Project Zero Натали Сильванович. Хотя возможность эксплуатации проблемы не была до конца исследована, данный кейс представляет отдельный интерес благодаря двумтрем особенностям.

Во-первых, баг актуален при передаче сообщений по протоколу Rich Communication Services. Это универсальный протокол, созданный в попытке приблизить функциональность «простых SMS» к возможностям популярных сетевых мессенджеров. Он позволяет пересылать изображения, видеоролики и звук и поддерживается множеством сотовых операторов. Главное, что на большом числе смартфонов (конкретно были протестированы Samsung Galaxy S23 и S24) протокол включен по умолчанию, о чем владелец устройства может даже и не знать.

Второе интересное обстоятельство: баг был найден в библиотеке, отвечающей за обработку аудиофайлов в формате Monkey’s Audio. Это достаточно редко используемый формат сжатия звука без потерь, впервые выпущенный в 2000 году, ныне распространяющийся по открытой лицензии. То, что аудио в таком экзотическом виде можно приложить к сообщению RCS и оно будет нормально обработано — также достаточно неожиданно. Наконец, третья особенность — это причина, по которой становится (в теории) возможной атака zero-click без дополнительных действий со стороны пользователя, а именно: ИИ-сервисы Samsung, обеспечивающие удобную функцию конвертации аудиосообщений в текст.

Именно функция транскрибирования приводит к тому, что присланный потенциальным злоумышленником «подготовленный» файл автоматически обрабатывается. В описании бага на сайте Google Project Zero приведен такой подготовленный файл и предложен метод его отправки. Естественно, штатным образом отправка сообщений в формате Monkey’s Audio невозможна. Но на телефоне потенциального атакующего можно создать стандартную голосовую заметку и подменить соответствующий файл на другой, после чего отправить измененный «войс» в мессенджере. Проблема в драйвере libsaped.so заключалась в том, что он ожидал поток данных с блоками фиксированного размера. Обработка файла с блоками увеличенного размера приводила к переполнению буфера.

К счастью, уязвимость была закрыта, да и возможность ее практической эксплуатации не исследовалась. Тем не менее это любопытный пример угрозы, которая является побочным эффектом «ИИ-сервисов» на смартфоне — когда различный контент обрабатывается разнообразными сервисами без ведома пользователя.

Что еще произошло

Злоумышленники пытаются обойти средства защиты от фишинга в смартфонах Apple. По умолчанию ссылки в сообщениях от незнакомых пользователей неактивны. В фишинговых сообщениях появляются инструкции, как снова сделать их «кликабельными» — для этого надо ответить на SMS, закрыть и снова открыть сообщение.

Исследователь Мэтт Браун обнаружил в США десятки незащищенных видеокамер, используемых полицией для наблюдения на дорогах. Ошибка в конфигурации сделала видеопоток с этих камер доступным всем желающим.

Критические уязвимости закрыты на прошлой неделе в браузерах Google Chrome и Mozilla Firefox.

Свежие серьезные уязвимости закрыты на VPN-сервере Ivanti Connect Secure. Как и предыдущие критические баги в ПО от этого производителя, на момент обнаружения две новые проблемы активно использовались в атаках.

Больше подробностей стало известно о прошлогодней атаке на разработчиков расширений для браузера Google Chrome, в ходе которой было взломано больше трех десятков популярных аддонов. Администраторам рассылались качественно подготовленные фишинговые сообщения якобы от Google, в которых сообщалось о «нарушении правил использования Chrome Web Store». Ссылка в письме переводила пользователя на фишинговую страницу, и действия жертвы там позволяли злоумышленникам перехватить контроль над расширением.