-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.02 #############################
Titel : Kwetsbaarheden verholpen in mobiele devices met
Samsung Exynos Modem
Advisory ID : NCSC-2023-0141
Versie : 1.02
Kans : medium
CVE ID : CVE-2023-24033, CVE-2023-26072, CVE-2023-26073,
CVE-2023-26074, CVE-2023-26075, CVE-2023-26076
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: http://cve.mitre.org/cve/)
Schade : high
(Remote) code execution (Administrator/Root rechten)
Uitgiftedatum : 20230323
Toepassing : Samsung Mobile
Vivo Mobile
Google Pixel
Versie(s) :
Platform(s) :
Update
Uit informatie die het NCSC van Samsung heeft ontvangen blijkt dat
de ernstigste kwetsbaarheid met kenmerk CVE-2023-24033 niet van
toepassing is op mobiele devices van Samsung. Van de gepubliceerde
kwetsbaarheden zijn er 6 van toepassing op Samsung devices. 5
daarvan zijn inmiddels verholpen in de Samsung update van maart. Van
de zesde kwetsbaarheid is (nog) geen inhoudelijke informatie
beschikbaar.
Beschrijving
Google Project Zero heeft veertien kwetsbaarheden ontdekt in Samsung
Exynos Modems. Deze modems worden in elk geval gebruikt in de
volgende mobiele devices:
Samsung: S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 en A04
Vivo: S16, S15, S6, X70, X60 en X30
Google: Pixel 6 en Pixel 7
Het is mogelijk dat meer systemen gebruik maken van de kwetsbare
chipset zijnde: Exynos Auto T5123 chipset. Raadpleeg hiervoor de
systeeminformatie van het mobiele device.
De ernstigste kwetsbaarheid heeft kenmerk CVE-2023-24033 gekregen en
stelt een kwaadwillende in staat om willekeurige code uit te voeren
op het mobiele device. Het enige dat de kwaadwillende nodig heeft is
het telefoonnummer. Er is geen interactie benodigd met de gebruiker.
Voor zover bekend is deze kwetsbaarheid alleen van toepassing op
Google Pixel. Er is verder geen inhoudelijke informatie bekend
gesteld.
Voor misbruik van de overige bekend gestelde kwetsbaarheden is het
nodig dat de kwaadwillende lokale toegang tot het device heeft, of
dat het slachtoffer communiceert via een malafide provider.
Van de overige kwetsbaarheden is (nog) geen CVE-ID bekend gesteld of
inhoudelijke informatie beschikbaar, omdat deze nog in de termijn
van 90 dagen zitten voor wat betreft Responsible Disclosure.
Mogelijke oplossingen
In afwachting van de updates voor de diverse getroffen mobile
devices is een workaround beschikbaar om de dreiging te mitigeren.
Het advies is om telefonie over Wi-Fi en/of Voice-over-LTE (VoLTE)
uit te schakelen. Raadpleeg hiervoor de documentatie van het
specifieke device. Voor meer informatie, zie:
https://googleprojectzero.blogspot.com/2023/03
/multiple-internet-to-baseband-remote-rce.html
Het NCSC houdt de ontwikkelingen in de gaten en werkt dit
beveiligingsadvies bij wanneer relevante informatie beschikbaar
komt.
-= Google =-
Google heeft updates uitgebracht voor de Pixel 6 en 7 om de
kwetsbaarheid met kenmerk CVE-2023-24033 te verhelpen. Voor meer
informatie zie:
https://source.android.com/docs/security/bulletin/pixel/2023-03-01
-= Samsung =-
Samsung heeft updates uitgebracht om de kwetsbaarheden met kenmerk
CVE-2023-26072, CVE-2023-26073, CVE-2023-26074, CVE-2023-26075 en
CVE-2023-26076 te verhelpen in de getroffen Samsung Mobile Devices.
De kwetsbaarheid met kenmerk CVE-2023-24033 is niet van toepassing.
Voor meer informatie zie:
https://security.samsungmobile.com/securityUpdate.smsb
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8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=cMWc
-----END PGP SIGNATURE-----
