Falha permite controlar a distância celulares Samsung lançados após 2014
Se você tem um smartphone Samsung com até seis anos de fabricação, fique esperto. A fabricante está enviando desde a semana passada atualizações de segurança para um problema descoberto em janeiro, mas só anunciado nesta semana.
A falha afeta todos os telefones Galaxy fabricados de 2014 para cá e permite a um hacker controlar o aparelho a distância.
O mais grave da falha é que ela é do tipo "zero cliques", ou seja, o usuário não precisa realizar nada de diferente ou errado no uso do aparelho para ser uma vítima.
A vulnerabilidade só existe em celulares Samsung. A fabricante sul-coreana pega o sistema Android puro do Google e faz suas próprias adaptações de design e funcionalidades. Outras fabricantes, como LG, Sony e Asus, também fazem esse processo, mas a falha de segurança surgiu de uma alteração da Samsung em uma parte específica do sistema.
Em termos técnicos, trata-se de uma execução remota arbitrária de código (RCE, na sigla em inglês) que atinge a bilbioteca de imagens do celular. A falha tem a ver com a forma como os telefones Samsung lidam com o formato de imagem Qmage (.qmg), criado para formar miniaturas que representam o arquivo de imagem maior —os "thumbnail previews".
Imagens com extensões diversas, como .jpg, .gif e .bmp, são processadas por aparelhos Samsung usando a biblioteca de gráficos padrão da Android, a Skia, para gerar as miniaturas. Quando faz isso com as imagens com extensão .qmg, é nesse processo que a falha se localiza.
Para ser explorada, um invasor precisa bombardear o celular com entre 50 e 300 mensagens de celular do tipo MMS (sigla em inglês para serviço de mensagens multimídia) que aceita outros conteúdos além de texto, como fotos e vídeos.
O objetivo das mensagens é disparar códigos capazes de descobrir onde a biblioteca Skia estava localizada na memória do dispositivo. O pesquisador que encontrou o problema, Mateusz Jurczyk, do Google Project Zero (equipe da empresa que caça bugs), fez um vídeo demonstrando.
Perceba, ao longo do vídeo, que o contador no aplicativo de mensagens MMS vai aumentando a numeração —são as mensagens em massa chegando e tentando explorar a falha, em um processo de tentativa e erro.
Todo o processo deve levar cerca de 100 minutos. Ao final, quando finalmente consegue atingir a falha, ele demonstra abrindo o app de calculadora do celular remotamente. Para que funcione, é preciso que a vítima esteja na tela principal do Android, sem usar nenhum aplicativo.
A Samsung foi avisada do erro e enviou a correção de segurança para seus celulares há alguns dias. Mas como o Android é um sistema fragmentado, essa correção privilegia celulares mais novos. Segundo o site Gizmochina, já teriam chegado aos modelos:
- Galaxy S20
- Galaxy Z Flip
- Galaxy Fold
- Galaxy Note 10
- Galaxy S10
- Galaxy A50
Os mais antigos —com mais de um ano de lançamento— ainda não devem ter sido contemplados.
O bug é chamado de SVE-2020-16747 no boletim de segurança da Samsung, e CVE-2020-8899 no banco de dados Mitre CVE, que cataloga vulnerabilidades.
Procurada por Tilt, a Samsung ainda não se pronunciou.
Esse tipo de falha "zero clique" também atinge celulares da Apple: a mesma equipe do Project Zero encontrou uma assim em 28 de abril, que atingia a estrutura de framework Image I/O, e afetava iPhones, iPads, Macs e Apple Watches.
ID: {{comments.info.id}}
URL: {{comments.info.url}}
Ocorreu um erro ao carregar os comentários.
Por favor, tente novamente mais tarde.
{{comments.total}} Comentário
{{comments.total}} Comentários
Seja o primeiro a comentar
Essa discussão está encerrada
Não é possivel enviar novos comentários.
Essa área é exclusiva para você, assinante, ler e comentar.
Só assinantes do UOL podem comentar
Ainda não é assinante? Assine já.
Se você já é assinante do UOL, faça seu login.
O autor da mensagem, e não o UOL, é o responsável pelo comentário. Reserve um tempo para ler as Regras de Uso para comentários.