Samsung-telefoons door kritieke kwetsbaarheid via MMS over te nemen
Alle Samsung-telefoons die de afgelopen vijf jaar zijn verschenen bevatten een kritieke kwetsbaarheid waardoor een aanvaller alleen een MMS hoeft te versturen om het toestel over te nemen. Er is geen interactie van de gebruiker vereist. Samsung heeft updates uitgebracht, maar niet alle toestellen zullen die ontvangen.
De kwetsbaarheid werd ontdekt door beveiligingsonderzoeker Mateusz Jurczyk van Google, die zijn bevinding op Twitter bekendmaakte. Het probleem wordt veroorzaakt door twee custom bestandsformaten voor afbeeldingen genaamd QM en QG, ook wel Qmage genoemd. Deze formaten zijn herkenbaar aan de .qmg-extensie. Samsung voegde in de tweede helft van 2014 ondersteuning van deze formaten toe aan de eigen Androidversie.
Jurczyk ontdekte dat door het versturen van een speciaal geprepareerd Qmage-bestand het mogelijk is om willekeurige code op het toestel uit te voeren. In het geval van een MMS-bericht wordt de inhoud zonder interactie van gebruikers verwerkt, wat het een ideale aanvalsvector voor aanvallers maakt. Om het uitvoeren van code mogelijk te maken moet echter wel eerst de ASLR-beveiliging worden omzeild.
Dit is volgens Jurczyk het lastigste deel van de aanval en vereist dat de aanvaller tussen de vijftig en driehonderd MMS "probes" moet versturen. Gemiddeld zou een exploit honderd van dergelijke MMS-berichten nodig hebben. Elke MMS-probe zorgt ervoor dat de Messages-app crasht. Android laat een programma na meerdere crashes pas na zestig seconden herstarten. Een aanval van de onderzoeker met 86 MMS-probes nam zo'n honderd minuten in beslag.
Een aanvaller zou de berichten bijvoorbeeld 's nachts kunnen versturen zodat het slachtoffer dit niet door heeft. In een demonstratievideo is te zien hoe Jurczyk via de MMS-aanval een reverse shell op het toestel krijgt en zo foto's en sms-berichten kan bekijken alsmede willekeurige applicaties kan starten.
Samsung werd op 28 januari over de kwetsbaarheid geïnformeerd. Het bedrijf heeft het beveiligingslek als kritiek bestempeld. Gebruikers die geen beveiligingsupdates meer ontvangen kunnen de "auto retrieve" optie voor multimediaberichten in de Messages-app uitschakelen.
Video - Exploitation of a Samsung Galaxy Note 10+ Zero-Click RCE Bug via MMS. Bron: YouTube
Ook KPN en T-Mobile zijn al een tijdje gestopt met het doorsturen van MMS.
En die hacker die het toestel overneemt kan dan ook op afstand mijn vinger op de vingerafdrukscanner plaatsen? Want zonder die vingerafdruk kan ik geen betalingen uitvoeren...
Ook KPN en T-Mobile zijn al een tijdje gestopt met het doorsturen van MMS.
Aha een tijdje geleden vroeg ik me al af waarom ik geen foto's meer kan versturen in mijn 2630 maar nu snap ik het...
(voorheen werd dat als MMS gestuurd)
Ik dacht dat ik wellicht iets fout had ingesteld.
Nou, daar ga je weer met je premium merk.
Als je tot de laatste regel door had gelezen, wist je het. (-:
Als je tot de laatste regel door had gelezen, wist je het. (-:
Héé zeg! Je hebt gelijk! Zou Erik dan toch een punt hebben als hij zegt dat ik posts niet of niet helemaal lees?
oh, wacht, dat was apple na 3 dagen die met een patch kwam.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
