Google đã đưa ra cảnh báo cho một số điện thoại Samsung, Pixel, Vivo và hàng triệu người dùng Android về các lỗ hổng bảo mật nghiêm trọng, có thể cho phép tin tặc xâm nhập thiết bị bằng cách thực hiện cuộc gọi đặc biệt đến số điện thoại của họ.
Nhóm Project Zero của Google đã cảnh báo trong một bài đăng trên blog, cho biết lỗ hổng bảo mật này ảnh hưởng đến các thiết bị Android sử dụng chip Exynos Modem 5123, Exynos Modem 5300, Exynos 980, Exynos 1080 và Exynos Auto T5123 do Samsung sản xuất. Các phiên bản quốc tế của Samsung Galaxy S22 (phiên bản Mỹ sử dụng chip Qualcomm Snapdragon), một số điện thoại Samsung tầm trung, Galaxy Watch 5 và 5, Pixel 6 và 7 cũng như ô tô sử dụng chip Exynos Auto T5123 đều có thể bị khai thác.
Bài đăng cho biết nhóm bảo mật của Google đã tìm thấy ít nhất 18 cách khai thác khác nhau có thể được dùng để nhắm mục tiêu vào các thiết bị sử dụng chip Exynos nói trên. Chủ sở hữu của các thiết bị có trong danh sách bị ảnh hưởng nên cài đặt các bản cập nhật bảo mật sắp tới càng sớm càng tốt, mặc dù sự thay đổi này còn tùy thuộc vào lịch trình mà các nhà sản xuất điện thoại thiết lập cho từng thiết bị.
Theo báo cáo của nhóm này, một lỗi được theo dõi là CVE-2023-24033 và ba lỗi khác vẫn chưa nhận được chỉ định CVE khiến tin tặc có thể thực thi mã độc.
Trưởng nhóm Project Zero – Tim Willis viết trong bài đăng ngày 16 tháng 3 rằng: “Các thử nghiệm do Project Zero thực hiện đã xác nhận bốn lỗ hổng này cho phép kẻ tấn công xâm nhập từ xa vào điện thoại ở cấp độ băng tần cơ sở, chỉ với điều kiện kẻ tấn công biết số điện thoại của nạn nhân, mà không cần sự tương tác của người dùng. Với những hạn chế trong nghiên cứu và phát triển bổ sung, chúng tôi tin rằng những kẻ tấn công lành nghề sẽ có thể nhanh chóng tạo ra hoạt động khai thác một cách âm thầm và từ xa để xâm nhập vào các thiết bị bị ảnh hưởng”.
Ông nói thêm, 14 lỗ hổng khác thì “không nghiêm trọng lắm” vì chúng yêu cầu quyền truy cập vào thiết bị hoặc có quyền truy cập nội bộ, hoặc đặc quyền truy cập vào hệ thống của nhà cung cấp dịch vụ di động.
Nhóm bảo mật của Google cho biết trong thời gian chờ đợi, người dùng Android có thể tránh bị tấn công bằng cách tắt tính năng gọi Wifi và Voice-over-LTE, còn được gọi là VoLTE, trong mục cài đặt thiết bị.
Ông Willis viết: “Cho đến khi có bản cập nhật bảo mật, nếu người dùng muốn tự bảo vệ mình khỏi các lỗ hổng thực thi mã từ xa băng tần cơ sở trong bộ chip Exynos của Samsung, thì có thể tắt tính năng gọi qua Wifi và Voice-over-LTE (VoLTE) trong phần cài đặt thiết bị của họ. Việc tắt các cài đặt trên sẽ loại bỏ nguy cơ khai thác những lỗ hổng này”.
Samsung đưa ra một tuyên bố xác nhận rằng họ đã biết về các lỗ hổng bảo mật tiềm ẩn và hiện đang phát hành bản cập nhật cho các thiết bị bị ảnh hưởng. Đồng thời khuyên các chủ sở hữu nên cập nhật phần mềm trên điện thoại thông minh Android của mình.
“Sau khi xác nhận 6 lỗ hổng có khả năng ảnh hưởng đến một số thiết bị Galaxy nhất định, trong đó không có lỗ hổng nào là ‘nghiêm trọng’, Samsung đã phát hành các bản vá bảo mật cho 5 lỗ hổng trong số này vào tháng 3″ – “Gã khổng lồ” công nghệ Hàn Quốc nói với CNET . “Một bản vá bảo mật khác sẽ được phát hành vào tháng 4 để giải quyết lỗ hổng còn lại.”
Các thiết bị dùng Android bị ảnh hưởng
Theo Google, tổng cộng các thiết bị bị ảnh hưởng bao gồm: thiết bị dòng S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 và A04 của Samsung, cũng như các thiết bị dòng S16, S15, S6, X70, X60 và X30 của Vivo. Ngoài ra, còn có Google Pixel 6 và 7, cùng bất kỳ phương tiện nào sử dụng bộ chip Exynos Auto T5123.
Theo trang web bảo mật Sophos, mặc dù “nghiên cứu của Google tập trung vào các thiết bị sử dụng một thành phần modem băng tần cơ sở mang thương hiệu của Samsung Exynos”, nhưng “điều đó không nhất thiết có nghĩa là Hệ thống trên một vi mạch sẽ tự nhận dạng hoặc gắn nhãn hiệu là Exynos”.
“Ví dụ: các thiết bị Pixel gần đây của Google sử dụng Hệ thống trên một vi mạch của riêng Google, mang nhãn hiệu Tensor, nhưng cả Pixel 6 và Pixel 7 đều dễ bị tổn thương trước các lỗi băng tần cơ sở vẫn còn nửa bí mật này,” – Sophos cho biết.
Google lưu ý rằng các lỗ hổng khai thác trên đã được phát hiện vào cuối năm 2022 và đầu năm 2023. Nhóm Project Zero cho biết họ đã chọn không tiết lộ bốn lỗ hổng khác do các hoạt động khai thác bảo mật đang diễn ra.
Thông qua trang web cập nhật bảo mật sản phẩm của mình, Samsung đã mô tả một trong những lỗi—CVE-2023-24033—là “lỗi bộ nhớ khi xử lý thuộc tính “accept-types” của SDP”.
Theo Samsung: “Phần mềm băng tần cơ sở không kiểm tra chính xác các loại định dạng của thuộc tính “accept-types” do giao thức SDP chỉ định, điều này có thể dẫn đến việc từ chối dịch vụ hoặc thực thi mã trong Samsung Baseband Modem”, và “Người dùng có thể tắt tính năng gọi WiFi và VoLTE để giảm thiểu tác động của lỗ hổng này.”
Theo Jack Phillips/ The Epoch Times
Hoàng Dung biên dịch
