www.belgium.be Logo of the federal government

Diverse 0-click RCE's en remote access problemen in Qmage image codec op Samsung Android Toestellen

Referentie: 
Advisory #2020-016
Versie: 
1.0
Geïmpacteerde software: 
Samsung Android OS versions 8.x
Samsung Android OS versions 9.0
Samsung Android OS versions 10.0
Type: 
Remote Code Execution (RCE)
CVE/CVSS: 

- CVE-2020-8899
- SVE-2020-16747
- CVSSv3 10.0

Bronnen

https://bugs.chromium.org/p/project-zero/issues/detail?id=2002
https://nvd.nist.gov/vuln/detail/CVE-2020-8899
https://security.samsungmobile.com/securityUpdate.smsb

Risico’s

Een niet-geauthenticeerde aanvaller kan een speciaal gemaakt MMS-bericht naar een kwetsbare Android-telefoon sturen, die een buffer overflow binnen de Quram beeldcodec zal veroorzaken die leidt tot een willekeurige code-uitvoering op afstand zonder de tussenkomst van de gebruiker.

Beschrijving

Er is een buffer overflow kwetsbaarheid aanwezig in de Quram qmg-bibliotheek die binnen het Android OS wordt gebruikt voor het verwerken van bepaalde afbeeldingen.

Dit probleem maakt het mogelijk voor een ongeautoriseerde aanvaller om een payload te integreren in een aangepast MMS-bericht. Kwetsbare telefoons zullen dan willekeurige code op afstand uitvoeren als root account, zonder enige interactie van de gebruiker. Alle apparaten die vanaf 2015 worden verkocht zijn kwetsbaar voor deze aanval, maar om deze uit te voeren zal een aanvaller meerdere MMS-berichten moeten versturen om het apparaat volledig te kunnen misbruiken

Aanbevolen acties

CERT.be raadt aan om de laatste updates voor Samsung-toestellen te installeren om dit probleem en vele andere kwetsbaarheden op te lossen.

Als extra maatregel kunt u overwegen om de verwerking van MMS-berichten op uw telefoon te beperken, indien dit van toepassing is op uw behoefte aan deze dienst. Instructies over hoe u dit kunt doen, vindt u hier: