Posiadacze Androidów – wgrajcie ASAP najnowsze łatki. Można „zwykłym” obrazkiem – np. przesłanym do ofiary MMSem przejmować telefony (RCE)

J00ru, znany nam z ostatnich bardzo mocnych podatności w urządzeniach Samsunga, tym razem wziął na warsztat również „gołe „Androidy. Exploita da się dostarczyć np. MMS-em:

In July, there is a lot going on for the security of Android image decoding, so I recommend installing this month’s update ASAP. This includes a DNG memory corruption in all modern Androids, and further issues in Samsung’s Qmage codec. Both rated critical and reachable via MMS.

Mateusz wprawdzie nie pisze wprost o RCE (Remote Code Execution), ale info typu 'łatajcie ASAP’ trudno zignorować. Szczególnie że w szczegółach dotyczących nowej paczki aktualizacji Androida czytamy właśnie o krytycznym błędzie klasy RCE:

The most severe vulnerability in this section could enable a remote attacker using a specially crafted file to execute arbitrary code within the context of a privileged process.

Są też „smaczki” dla właścicieli Samsunga:

For Samsung, there are new vulnerabilities in the custom Qmage codec fixed as SVE-2020-17675 (no CVE yet), which have similar severity to the Qmg bugs exploited in April. Full details in the P0 tracker are restricted until 90 days elapse under our 2020 disclosure policy trial.

On a related note, for those interested in the Qmg format and Android remote zero-click exploitation, I have some good news! The first post in the series is coming out very soon, with plans to publish each one ~weekly until the series is finished.