นักวิจัยจาก Google พบช่องโหว่ Zero Click สุดอันตรายบนสมาร์ทโฟน Samsung หลายรุ่น

ในช่วงที่ผ่านมาเวลามีข่าวเกี่ยวกับช่องโหว่ความปลอดภัยและระบบปฏิบัติการ Android โดยมากมักจะส่งผลกระทบแบบไม่จำกัดแบรนด์ บน Android รุ่นที่ประสบปัญหา แต่ในคราวนี้กลับเป็นสิ่งที่แตกต่างออกไป

จากรายงานโดยเว็บไซต์ The Hacker News ได้รายงานถึงการตรวจพบช่องโหว่ที่แฮกเกอร์สามารถใช้งานได้แบบทันทีโดยที่ไม่ต้องอาศัยการกระทำใด ๆ ของเหยื่อ หรือ Zero-Click โดยทางทีมวิจัยจาก Google Project Zero ซึ่งเป็นช่องโหว่ที่เกิดขึ้นบนเครื่องมือถอดรหัสเสียง (Audio Decoder) บนเครื่องสมาร์ทโฟนของ Samsung ที่มีชื่อว่า Monkey’s Audio (APE) โดยจะส่งผลต่อเครื่องของ Samsung ที่ใช้งาน Android เวอร์ชัน 12, 13 และ 14

ช่องโหว่ดังกล่าวนั้นมีชื่อว่า CVE-2024-49415 เป็นช่องโหว่แบบปล่อยให้ผู้ไม่ประสงค์ดีสามารถแทรกโค้ดบนส่วนหัวหรือท้ายของ Buffer ได้ หรือที่เรียกว่า Out-of-Bounds Write ซึ่งช่องโหว่นี้เกิดขึ้นในส่วนของ libsaped.so บนโทรศัพท์สมาร์ทโฟนของ Samsung ที่ใช้งานอัปเดตความปลอดภัยของทางตัวแบรนด์รุ่นก่อนหน้าอัปเดต SMR Dec-2024 Release 1 โดยช่องโหว่จะส่งผลให้แฮกเกอร์สามารถยิงโค้ดจากระยะไกล (RCE หรือ Remote Code Execution) ได้ ซึ่งปัญหาดังกล่าวนั้นได้ถูกแก้ไขเป็นที่เรียบร้อยแล้วผ่านตัวอัปเดตความปลอดภัยที่กล่าวมาข้างต้น

ทางทีมวิจัยได้อธิบายถึงการใช้งานช่องโหว่ดังกล่าวว่าแฮกเกอร์จะสามารถใช้งานช่องโหว่ดังกล่าวเมื่ออยู่ในเงื่อนไขที่เหมาะสม อย่างเช่น Google Messages บนเครื่อง Samsung Galaxy S23 และ S24 มีการตั้งค่า Defult ในส่วนของ Rich Communication Services (RCS) เปิดทางให้แฮกเกอร์สามารถส่งไฟล์เสียงที่ถูกสร้างขึ้นมาเป็นพิเศษโดยมุ่งเน้นให้ตัวเครื่องเป้าหมายที่มีการเปิดการใช้งาน RCS อยู่รับสารดังกล่าวและถอดรหัสไฟล์เสียงด้วยระบบ Audio Decoder ที่กำลังเป็นประเด็น นำไปสู่การค้าง (Crash) ในส่วนของ samsung.software.media.c2 และเปิดช่องให้แฮกเกอร์สามารถยิงโค้ดอันตรายชุดใหม่ลงมาสู่เครื่องของเหยื่อได้

แต่ผู้ใช้งานโทรศัพท์มือถือของทาง Samsung ก็ไม่จำเป็นต้องตื่นตระหนกแต่อย่างใด เพียงแต่ทำการอัปเดตเครื่องด้วยแพทช์ SMR Dec-2024 Release 1 จากทาง Samsung ที่ได้เปิดให้อัปเดตแล้วตั้งแต่เดือนธันวาคมที่ผ่านมา ซึ่งแพทช์นี้ไม่เพียงแต่จะอุดช่องโหว่ที่กล่าวมาเท่านั้น ตัวแพทช์ยังได้ทำการแก้ไขช่องโหว่ความปลอดภัย CVE-2024-49413 ซึ่งเป็นช่องโหว่ที่เปิดทางให้ผู้ไม่ประสงค์ดีที่มีความสามารถในการเข้าถึงเครื่องของเหยื่อโดยตรง (เช่น ช่างซ่อม หรือ บุคคลอื่น ๆ ที่เข้าถึงตัวโทรศัพท์ ถ้าเหยื่อวางมือถือทิ้งไว้) สามารถติดตั้งแอปพลิเคชันอันตราย และมัลแวร์ลงสู่เครื่องได้ โดยอาศัยข้อบกพร่องในการยืนยันความถูกต้องของลายเซ็นดิจิทัล (Improper Verification of Cryptographic Signature) อีกด้วย