Samsung исправил критическую уязвимость всех смартфонов старше 2014 года
Южнокорейский производитель смартфонов Samsung выпустил обновление, которое устранило дыру в безопасности, позволявшую взломать любой смартфон компании, выпущенный с конца 2014. Советующее исправление выпущено 6 мая, сообщается на сайте компании.
Уязвимость получила порядковый номер SVE-2020-16747 и «критическую» степень серьезности.
Используя эту дыру в безопасности, злоумышленник мог удаленно выполнить любой вредоносный код на смартфоне жертвы. Например, отправив MMS сообщение. При этом от пользователя не требовалось совершать никаких действий.
Ошибка в безопасности заключалась в некорректной работе с изображениями формата Qmage (.qmg), который поддерживался на смартфонах Samsung, выпускаемых с конца 2014 года.
Уязвимость обнаружил сотрудник Google Project Zero Матеуш Юрчик. Он описал способ взлома смартфона с помощью MMS сообщений, содержащих фото в формате Qmage. В картинку встраивался вредоносный код, который запускался без ведома пользователя. При этом использовалась еще одна уязвимость, на этот раз с приложением Samsung Messages, которая отвечает за работу с SMS и MMS-сообщениями и установлена на всех устройствах Samsung.
Также специалист сообщил, что взломать смартфон можно не только с использованием MMS, но и с через любое другое приложение, которое работает с фотографиями формата Qmage. Что сделает атаку не такой заметной, как при использовании сообщений.
После исправления ошибки, Матеуш Юрчик выложил подробное описание уязвимости и видеоинструкцию со взломом смартфона.
Отметим, проект Google Project Zero был запущен в 2014 году для поиска уязвимостей в продуктах Google и других популярных программах. Информация об обнаруженных ошибках отправляется авторам программного обеспечения. При этом если разработчики не исправят ошибку в течение 90 дней, Google Project Zero опубликует информацию об уязвимости на общедоступных ресурсах.
