Sicherheitslücke bei Smartphones mit Exynos-Modem (CVE-2023-24033)

[hagex]

@ses nein, Wifi-Calling habe ich abgeschaltet und VoLTE ist nach wie vor aktiv (ausprobiert)

Über eine Routine lösen?

 

[ahlutum]

@Nagash

Eigentlich lt. obiger Verlinkung eben nicht mehr.

 

[ses]

@ahlutum dito, sehe ich auch so und daher nicht schon gestern einen forumweiten Hinweis gestartet.

 

[DerMicha]

Dann kann ich mich ja wieder entspannen

 

[Cairus]

@Nagash bin gleich entspannt als würde es das Risiko net geben

Kann aber auch daran liegen das ich genau nichts wichtiges am Handy habe.

 

[DerMicha]

@Cairus Uff, bei mir läuft alles über das Smartie

 

[blackseven]

@hagex das würde voraussetzen, dass die Schwachstelle nur während aktiver Telefonate ausgenutzt werden kann. Das habe ich aber noch nirgends eindeutig gelesen. Es wird immer nur geraten die Funktionen abzuschalten....

Btw., ich habe ein Pixel 7....Aber auch da gibt es wohl noch keine offizielle Entwarnung seitens Google...oder?

 

[Jegf]

Danke für den Hinweis. Habe März Security Patch schon seit letzte Woche drauf.

Vivo X90 Pro Global

 

[Khirdik]

Das S21-FE meines Vaters hat heute ein Update bekommen. Habe trotzdem die Funktionen deaktiviert.

 

[der.unioner]

Es wäre schön, wenn Samsung mal eine Meldung herausgeben würde, welches Handy durch ein Update gefixt wurde oder wann es gefixt wird.

 

[nsmart]

Bzgl. der Frage, ob es nun für Samsung Geräte bereits einen Patch für CVE-2023-24033 gibt oder nicht:
Laut: Product Security Update | Support | Samsung Semiconductor Global
in der Rubrik "Januar 2023" heißt es: Patch: "Contact each Product Manager".

Hier: Samsung Mobile Security
ist der Patch für CVE-2023-24033 weder für Januar, Februar oder März aufgeführt.

Nach meiner Interpretation gibt es noch keinen Patch für Samsung Geräte. Woraus ließe sich etwas anderes schlußfolgern?

EDIT:
Könnte man in den Titel dieses Threads CVE-2023-24033 einfügen, damit das klar ist, um welche Sicherheitslücke es sich handelt?

 

[blackseven]

Ich weiß nicht, woher die Annahme kommt, dass das Pixel 7/7Pro den Patch schon hat. Wenn ich diese Seite: Pixel Update Bulletin—March 2023 | Android Open Source Project richtig interpretiere, kann man sich auf den Google-Entwicklerseiten ein Image mit dem Patch herunterladen und per ADB-Sideload installieren. Dass der CVE-2023-24033 mit dem März-Update gefixt wurde, lese ich nicht raus. Aber vielleicht irre ich mich ja auch.

 

[Kain666]

@blackseven
Siehe hier
Pixel-Smartphones: Google vermeldet schwere Tensor-Sicherheitslücken - Pixel 6 und Pixel 6 Pro noch ungefixt

 

[blackseven]

@Kain666 Definiere "die wichtigsten Sicherheitslücken". Und die hier genannte Lücke scheint nicht gefixt zu sein...oder doch?

 

[ahlutum]

Man liest viel widersprüchliches. Teilweise schon gefixt oder noch gar nichts gefixt, usw.
Für den Moment wohl ratsam, beides zu deaktivieren, bis die Informationslage besser ist. Unschöne Geschichte.

 

[HTCislove]

Ich gehe mal davon aus, dass das Pixel 6a auch betroffen ist, oder? Lt. Datenblatt ist derselbe Tensor-Chip wie im Pixel 6 verbaut. Es wird bisher nirgends explizit erwähnt.

 

[RealAudipower]

Was mir an diesen Geschichten immer Fehlt ist die Info wie relevant das ganze ist. Wie andere schon beschrieben habe werden irgendwelche "Infos" aus Sicherheits Berichten herausgezogen. Und schon da fehlt die Info ob diese Person Kompetent ist oder einfach nur eine Schlagzeile fummelt. Danach geht das in der "Bubbel" der Interessierten um die restlichen 90 % (mindestens) Nutzer bekommen nichts mit. Und die Interessierte Bubble bekommt nur Bruchstücke und kann das alles null einschätzen, sondern sich nur Sorgen machen. Eine Lücke kann ja auch nur theoretisch existieren, bei der einige Bedingungen erfüllt sein müssen und damit die Wahrscheinlichkeit in Praxis gen Null Läuft. Es ist ja auch nicht beschrieben wie aufwändig das ist! Das Szenario wo man einfach wild Nummer durchtestet, greift ja nur wen der Test auf Schwachstelle im Rahmen bleibt. Kein Krimineller fängt an sich mit sowas zu beschäftigen wen das Testen auf Schwachstelle schon Stunden dauert und das ausnützen noch Länger oder sehr massiven Rechner Einsatz fordert um irgendwelche, Verschlüsselungen per Brute Force zu brechen.

Mein persönliches Fazit:
Diese Schwachstellen sollten schneller und besser Kommuniziert und behandelt werden, und das nicht immer von irgendwelchen Internet Möchtegern Experten. Auch wer wann geschützt ist sollte klarer sein. Aber für im Alltag relevant halte ich das alles nicht wie gesagt Millionen rennen rum und haben null Ahnung und es Passiert nichts. Ich habe auch nie glaubhafte berichte gesehen wo solche Schwachpunkte in breiter Masse genutzt wurden. Und wen man sich die Menschheit so ansieht, warum auch ?? Mit plumpen und einfachen Spam Mails und Anrufen ist man viel Erfolgreicher das ist wenig Aufwand und funktioniert seid Jahrzehnten. Den eins ist klar auch Verbrechen Arbeiten Wirtschaftlich und wollen viel gewinn möglichst einfach. Und nicht Wochen an einem Sicherheitsleck Rumtüfteln das bevor es Gewinn abwirft geschlossen wird.

Solche Sicherheits Mängel sollte es nicht geben und müssen schnell gefixt werden. Aber niemand sollte sich da Groß sorgen machen. Und Funktionen abschalten für ein eventuell.

 

[Blacky12]

Das S21-FE meines Vaters hat heute ein Update bekommen. Habe trotzdem die Funktionen deaktiviert.

Das S21 FE hat keinen Exynos, daher ist es von dieser Schwachstelle nicht betroffen.

 

[RealAudipower]

Geht hier nicht um den Chip Tensor oder Exynos , sondern um das Verbaute Modem.
Insofern könnte auch ein Gerät mit Snapdragon oder MTK Prozessor betroffen sein. Wen auch deutlich weniger wahrscheinlich.

 

[ses]

Also beziehen wir uns mal auf die ursprüngliche Quelle ""Project Zero":
Multiple Internet to Baseband Remote Code Execution Vulnerabilities in Exynos Modems

Grundsätzlich: WLAN-Anrufe und Voice-over-LTE (VoLTE) in den Geräteeinstellungen deaktivieren und man ist "sicher".

Die Patch-Timelines unterscheiden sich natürlich je nach Hersteller, aber betroffene Pixel-Geräte haben lt. dem Artikel im März 2023 einen Fix für CVE-2023-24033 erhalten. Samsung hat soweit ich nachfolgende Seite richtig interpretiere bereits im Januar 2023 reagiert:

Product Security Update | Support | Samsung Semiconductor Global

Die Kommunikation von Samsung ist hier allerdings wirklich etwas dürftig / widersprüchlich.

Was ich hierzu noch gefunden habe:
[Samsung Responded] Severe Exynos modem vulnerabilities found, these models are affected - verweist auf: 三星回应旗下调制解调器存在 18 个漏洞：已提供修复补丁，问题现已解决 - IT之家

At the end of last year, we received a security issue notification for Google project zero, and Samsung has provided all customers with a patch version for this vulnerability, and the related issues have now been resolved.

Zu Deutsch:

Diesbezüglich antwortete Samsung gegenüber IT Home mit den Worten: Ende letzten Jahres erhielten wir eine Benachrichtigung über ein Sicherheitsproblem für Google Project Zero, und Samsung hat allen Kunden eine Patch-Version für diese Schwachstelle und die damit verbundenen Probleme zur Verfügung gestellt gelöst worden.

Ergo: Es wird nicht so heiß gegessen wie gekocht .