-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden ontdekt in mobiele devices met Samsung
                  Exynos Modem
Advisory ID     : NCSC-2023-0141
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2023-24033, CVE-2023-26072, CVE-2023-26073,
                  CVE-2023-26074, CVE-2023-26075, CVE-2023-26076
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  (Remote) code execution (Administrator/Root rechten)
Uitgiftedatum   : 20230317
Toepassing      : Samsung Mobile
                  Vivo Mobile
                  Google Pixel
Versie(s)       :
Platform(s)     :

Beschrijving
   Google Project Zero heeft veertien kwetsbaarheden ontdekt in Samsung
   Exynos Modems. Deze modems worden in elk geval gebruikt in de
   volgende mobiele devices:

   Samsung: S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 en A04
   Vivo: S16, S15, S6, X70, X60 en X30
   Google: Pixel 6 en Pixel 7

   Het is mogelijk dat meer systemen gebruik maken van de kwetsbare
   chipset zijnde: Exynos Auto T5123 chipset. Raadpleeg hiervoor de
   systeeminformatie van het mobiele device.

   De ernstigste kwetsbaarheid heeft kenmerk CVE-2023-24033 gekregen en
   stelt een kwaadwillende in staat om willekeurige code uit te voeren
   op het mobiele device. Het enige dat de kwaadwillende nodig heeft is
   het telefoonnummer. Er is geen interactie benodigd met de gebruiker.
   Er is verder geen inhoudelijke informatie bekend gesteld.

   Voor misbruik van de overige bekend gestelde kwetsbaarheden is het
   nodig dat de kwaadwillende lokale toegang tot het device heeft, of
   het slachtoffer communiceert via een malafide provider.

   Van de overige kwetsbaarheden is geen CVE-ID bekend gesteld of
   inhoudelijke informatie beschikbaar, omdat deze nog in de termijn
   van 90 dagen zitten voor wat betreft Responsible Disclosure.

Mogelijke oplossingen
   De betreffende vendors hebben (nog) geen updates uitgebracht om de
   kwetsbaarheden te verhelpen in Exynos Auto T5123 chipset. Wel heeft
   het Google Project Zero een workaround vrijgegeven om de dreiging
   weg te nemen in afwachting van updates.

   Het advies is om telefonie over Wi-Fi en Voice-over-LTE (VoLTE) uit
   te schakelen. Raadpleeg hiervoor de documentatie van het specifieke
   device. Voor meer informatie, zie:

   https://googleprojectzero.blogspot.com/2023/03
      /multiple-internet-to-baseband-remote-rce.html


   Het NCSC houdt de ontwikkelingen in de gaten en werkt dit
   beveiligingsadvies bij wanneer relevante informatie beschikbaar
   komt.

   -= Google =-
   Google heeft updates uitgebracht voor de Pixel 6 en 7 om de
   kwetsbaarheid met kenmerk CVE-2023-24033 te verhelpen. Voor meer
   informatie zie:

   https://source.android.com/docs/security/bulletin/pixel/2023-03-01

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8

wsDVAwUBZBRTd/4Vd0fJc7lbAQpzOwwAvBHy9O4A1pDs1rD+d2RY/b2+I56MIlmK
BXiwK5IY7NSaaqCe5oriAWs3Ft1ZG11dlc6LkyKyC8qCpE5r3/xvrDAiUqIgBtMn
WcR0BzTB+pYCDBw+oByS79WBHnMTKl8cmp3e2qHpkhubDdI+21is6oiF04E/ESSy
uG10zlEYE2ZLZVJ2vD7CFOPGd5WP0AHs47MLHvtx2cBVYxNY7k1xszTiIt960cd9
c5zTnWkege+ehyrlQi+VVnXtSF/NWudrxToFDHml9sk/X+vw9mLYpcP0Y3GHXbyD
o9kjjOQv4NQW73rJDE7R3qHBgdDTE13iTb9oO5pnkQmQTzsd1ZTgxz36AcdjSXPA
//7Nk3nYm7goNDmwciAf3QO+Oi2x1tgAggwTY1aABLVRFqBozJhROpn6EKRZT0YK
5TuVDPnnVOEwT5OgU0HjVQatSq0Yl8QEfY+es0s03to2/fMY8qpYNLeJfb+AGAm7
xVCAfi7gNOySU6sl/R0Lc9KpLN97DFlk
=3PjP
-----END PGP SIGNATURE-----