-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA512 ##################################################### ## N C S C ~ B E V E I L I G I N G S A D V I E S ## ##################################################### ######################## UPDATE 1.01 ############################# Titel : Kwetsbaarheden ontdekt in mobiele devices met Samsung Exynos Modem Advisory ID : NCSC-2023-0141 Versie : 1.01 Kans : medium CVE ID : CVE-2023-24033, CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075, CVE-2023-26076 (Details over de kwetsbaarheden kunt u vinden op de Mitre website: http://cve.mitre.org/cve/) Schade : high (Remote) code execution (Administrator/Root rechten) Uitgiftedatum : 20230321 Toepassing : Samsung Mobile Vivo Mobile Google Pixel Versie(s) : Platform(s) : Update In de Samsung Security & Management Release van maart zijn de kwetsbaarheden met kenmerk CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 en CVE-2023-26076 verholpen. Beschrijving Google Project Zero heeft veertien kwetsbaarheden ontdekt in Samsung Exynos Modems. Deze modems worden in elk geval gebruikt in de volgende mobiele devices: Samsung: S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 en A04 Vivo: S16, S15, S6, X70, X60 en X30 Google: Pixel 6 en Pixel 7 Het is mogelijk dat meer systemen gebruik maken van de kwetsbare chipset zijnde: Exynos Auto T5123 chipset. Raadpleeg hiervoor de systeeminformatie van het mobiele device. De ernstigste kwetsbaarheid heeft kenmerk CVE-2023-24033 gekregen en stelt een kwaadwillende in staat om willekeurige code uit te voeren op het mobiele device. Het enige dat de kwaadwillende nodig heeft is het telefoonnummer. Er is geen interactie benodigd met de gebruiker. Er is verder geen inhoudelijke informatie bekend gesteld. Voor misbruik van de overige bekend gestelde kwetsbaarheden is het nodig dat de kwaadwillende lokale toegang tot het device heeft, of het slachtoffer communiceert via een malafide provider. Van de overige kwetsbaarheden is geen CVE-ID bekend gesteld of inhoudelijke informatie beschikbaar, omdat deze nog in de termijn van 90 dagen zitten voor wat betreft Responsible Disclosure. Mogelijke oplossingen In afwachting van de updates voor de diverse getroffen mobile devices is een workaround beschikbaar om de dreiging te mitigeren. Het advies is om telefonie over Wi-Fi en Voice-over-LTE (VoLTE) uit te schakelen. Raadpleeg hiervoor de documentatie van het specifieke device. Voor meer informatie, zie: https://googleprojectzero.blogspot.com/2023/03 /multiple-internet-to-baseband-remote-rce.html Het NCSC houdt de ontwikkelingen in de gaten en werkt dit beveiligingsadvies bij wanneer relevante informatie beschikbaar komt. -= Google =- Google heeft updates uitgebracht voor de Pixel 6 en 7 om de kwetsbaarheid met kenmerk CVE-2023-24033 te verhelpen. Voor meer informatie zie: https://source.android.com/docs/security/bulletin/pixel/2023-03-01 -= Samsung =- Samsung heeft updates uitgebracht om de kwetsbaarheden met kenmerk CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 en CVE-2023-26076 te verhelpen in de getroffen Samsung Mobile Devices. Voor meer informatie zie: https://security.samsungmobile.com/securityUpdate.smsb Vrijwaringsverklaring Door gebruik van deze security advisory gaat u akkoord met de navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke zorg heeft betracht bij de samenstelling van dit beveiligingsadvies, kan het NCSC niet instaan voor de volledigheid, juistheid of (voortdurende) actualiteit van dit beveiligingsadvies. De informatie in dit beveiligingsadvies is uitsluitend bedoeld als algemene informatie voor professionele partijen. Aan de informatie in dit beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC en de Staat zijn niet aansprakelijk voor enige schade ten gevolge van het gebruik of de onmogelijkheid van het gebruik van dit beveiligingsadvies, waaronder begrepen schade ten gevolge van de onjuistheid of onvolledigheid van de informatie in dit beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht van toepassing. Alle geschillen in verband met en/of voortvloeiend uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de voorzieningenrechter in kort geding. -----BEGIN PGP SIGNATURE----- Version: Encryption Desktop 10.4.2 (Build 1298) Charset: utf-8 wsDVAwUBZBlcZ/4Vd0fJc7lbAQpufwv8CbvKrDjalH4eyzbc9eINmOTbuvLnY8if +Li5d+N1Mh4VpjLt6j1f46lnt5zKgFfPShFRqHLsqY31uc7ItDzKqGoFkeqTWRl8 ExD53w3nz7CSoR7RxR5iNzequf3Y49xni/a50OSLiY5XwaDAUUXgG9sMNxLOqrfV MGRVo8luc7pCNyhZ1RGe1IFqUb21UXKMMIwW34qt7R59sBmdNPDwY0BrlZycYRIH Tx+lwnkx0Ni1eOgHnuT1V56Rt1VhgjzxiY3TUYWnt45Hjvmh2kuaiGArVsJATT2O SiuyR0gnLfw3WYKsIDCRj2qYRqAhvOS0TV0/ODXKLI5wq+GNX2IUx6UKCX6fMPAh mamEfSyspSKDCroSyNge7cvDaZ6zL8MZXBMs1uQ0xBHQO+uoA/foABo531JR+T8r IZNfON9HEvCqK+KXgXtCwt8qof9SH5g+KIwmViuI88+B47AATwKsjGslHDD3a+8x y58z/WoQ1ATHn7g2yQhjE+ucbFxTKT0a =MGVH -----END PGP SIGNATURE-----