구글 Project Zero 삼성 엑시노스 칩셋(Exynos chipsets) 제로데이 취약점 18개 발견

구글은 제로데이 버그 헌팅 팀인 Project Zero는 모바일 장치, 웨어러블 및 자동차에 사용되는 삼성의 Exynos 칩셋에서 18개의 제로데이 취약점을 발견하고 보고 했습니다.
해당 취약점은 2022년 말에서 2023년 초 사이에 보고가 되었으며 18개의 제로데이 중 4개가 가장 심각한 것으로 확인되어 인터넷에서 베이스밴드까지 원격 코드 실행이 가능한 문제가 있습니다.
Internet-to-baseband RCE(원격 코드 실행) 버그(CVE-2023-24033 및 여전히 CVE-ID를 기다리는 세 가지 포함)는 공격자가 취약한 장치를 사용자 상호 작용 없이 원격에서 손상할 수 있음
베이스밴드 소프트웨어는 SDP에서 지정한 승인 유형 속성의 형식 유형을 제대로 확인하지 않아 삼성 베이스밴드 모뎀에서 서비스 거부 또는 코드 실행으로 이어질 수 있는 문제임
격을 실행하는 데 필요한 유일한 정보는 피해자의 전화번호이며 공격자가 사용자 상호 작용 없이 베이스밴드 수준에서 전화를 원격에서 손상할 수 있는 네 가지 취약점이 있으며 공격자가 피해자의 전화번호만 알고 있으면 된다는 것이며 제한된 추가 연구 및 개발을 통해 우리는 숙련된 공격자가 영향을 받는 장치를 자동으로 원격에서 손상하는 운영 익스플로잇을 신속하게 생성할 수 있음
14개의 다른 관련 취약점(CVE-2023-26072,CVE-2023-26073,CVE-2023-26074,CVE-2023-26075, CVE-2023-26076 및 아직 CVE-ID가 할당되지 않은 9개의 다른 취약점)은 악의적인 모바일 네트워크 운영자 또는 장치에 대한 로컬 액세스 권한이 있는 공격자가 필요하기 때문에 심각하지는 않음

더 자세한 내용

삼성 갤럭시 S 22

삼성에서 제공하는 영향을 받는 칩셋 목록에 따라 영향을 받는 장치 목록에는 다음이 포함되지만 이에 국한되지는 않습니다.
갤럭시 S22, 갤럭시 M33, 갤럭시 M13, 갤럭시 M12,갤럭시 A71,갤럭시 A53, 갤럭시A33, 갤럭시 A21,갤럭시 A13,갤럭시 A12 및 갤럭시 A04 시리즈를 포함한 삼성의 갤럭시 스마트폰
S16, S15, S6, X70, X60 및 X30 시리즈를 포함한 Vivo의 모바일 장치
Google의 Pixel 6 및 Pixel 7시리즈 기기
Exynos W920 칩세트를 사용하는 모든 웨어러블
Exynos Auto T5123 칩셋을 사용하는 모든 차량
영향을 받는 장치에 사용할 수 있는 해결 방법
삼성은 이미 영향을 받는 칩셋의 이러한 취약성을 해결하는 보안 업데이트를 다른 공급업체에 제공했지만, 패치는 공개되지 않으며 영향을 받는 모든 사용자가 적용할 수 없으며 구글은 2023년 3월 보안 업데이트 에서 영향을 받는 Pixel 기기에 대한 CVE-2023-24033을 이미 해결했습니다.
해당 보안 업데이트가 제공을 될 때까지 해결 임시 해결 방법은 다음과 같습니다.
사용자는 공격 벡터를 제거하기 위해 Wi-Fi 통화 및 VoLTE(Voice-over-LTE)를 비활성화하여 장치에서 삼성의 Exynos 칩셋을 대상으로 하는 베이스밴드 RCE 악용 시도 막을 수가 있습니다.
그리고 이런 보안 취약점으로부터 안전하게 스마트폰 및 웨어러블 기기를 사용을 하려고 최신 업데이트를 적용해서 사용하시면 됩니다.