Pesquisadora do Google Project Zero descobre exploit Zero-Click crítico em dispositivos Samsung

Pesquisadores em cibersegurança detalharam uma vulnerabilidade de segurança, já corrigida, que impactava o decodificador Monkey's Audio (APE) em smartphones Samsung, podendo levar à execução remota de código malicioso.

A vulnerabilidade de alta gravidade, identificada como CVE-2024-49415 (pontuação CVSS: 8.1), afeta dispositivos Samsung com Android nas versões 12, 13 e 14.

“Uma falha de gravação fora dos limites no arquivo libsaped.so anterior ao lançamento SMR de dezembro de 2024 permite que atacantes remotos executem código arbitrário”, informou a Samsung em seu comunicado. A correção implementou uma validação adequada de entrada.

Natalie Silvanovich, pesquisadora do Google Project Zero que descobriu e relatou o problema, descreveu a vulnerabilidade como um ataque zero-click (que não exige interação do usuário) e um "novo e interessante vetor de ataque", sob condições específicas.

Em particular, isso ocorre quando o aplicativo Google Messages está configurado para serviços de comunicação rica (RCS), a configuração padrão nos modelos Galaxy S23 e S24. Nesse caso, o serviço de transcrição decodifica localmente o áudio recebido antes que o usuário interaja com a mensagem.

“A função saped_rec no arquivo libsaped.so grava em um buffer de memória alocado pelo serviço de mídia C2, que normalmente possui tamanho fixo de 0x120000”, explicou Silvanovich.

“Embora o valor máximo de blocksperframe extraído pelo libsapedextractor também seja limitado a 0x120000, a função saped_rec pode gravar até 3 vezes o tamanho de blocksperframe, caso os bytes por amostra de entrada sejam 24. Isso permite que um arquivo APE com um tamanho elevado de blocksperframe cause um estouro significativo nesse buffer.”

Em um cenário de ataque hipotético, um invasor poderia enviar uma mensagem de áudio especialmente modificada via Google Messages para um dispositivo alvo com RCS ativado, fazendo com que o processo de codec de mídia ("samsung.software.media.c2") travasse.

Além dessa falha, a atualização de dezembro de 2024 da Samsung corrigiu outra vulnerabilidade de alta gravidade no SmartSwitch (CVE-2024-49413, pontuação CVSS: 7.1), que permitia que atacantes locais instalassem aplicativos maliciosos explorando uma verificação inadequada de assinaturas criptográficas.

Via - THN