Los investigadores de ciberseguridad han detallado una vulnerabilidad de seguridad ahora parcheada que afecta al decodificador Monkey’s Audio (APE) en teléfonos inteligentes Samsung, la cual podría llevar a la ejecución de código.
La vulnerabilidad, de alta gravedad, está identificada como CVE-2024-49415 (puntaje CVSS: 8.1) y afecta a dispositivos Samsung con Android en las versiones 12, 13 y 14.
“Un error de escritura fuera de los límites en libsaped.so, antes de la versión SMR Dec-2024 Release 1, permite a los atacantes remotos ejecutar código arbitrario”, dijo Samsung en un aviso sobre la falla publicada en diciembre de 2024 como parte de sus actualizaciones de seguridad mensuales. “El parche agrega validación de entrada adecuada”.
La investigadora de Google Project Zero, Natalie Silvanovich, quien descubrió y reportó el problema, lo describió como un ataque que no requiere interacción del usuario (es decir, zero-click) y como una “nueva y divertida superficie de ataque” bajo condiciones específicas.
Particularmente, esto ocurre si Google Messages está configurado para servicios de comunicación enriquecidos (RCS), la configuración predeterminada en los teléfonos Galaxy S23 y S24, ya que el servicio de transcripción decodifica localmente el audio entrante antes de que el usuario interactúe con el mensaje.
“La función saped_rec en libsaped.so escribe en un dmabuf asignado por el servicio de medios C2, que siempre parece tener un tamaño de 0x120000”, explicó Silvanovich.
“Aunque el valor máximo de bloques por fotograma extraído por libsapedextractor también está limitado a 0x120000, saped_rec puede escribir hasta 3 veces el tamaño de los bloques por fotograma si los bytes por muestra de entrada son 24. Esto significa que un archivo APE con un tamaño grande de bloques por fotograma puede desbordar sustancialmente este búfer”.
En un escenario de ataque hipotético, un atacante podría enviar un mensaje de audio especialmente diseñado a través de Google Messages a cualquier dispositivo objetivo con RCS activado, causando que el proceso de codec de medios (“samsung.software.media.c2”) se bloquee.
El parche de diciembre de 2024 de Samsung también aborda otra vulnerabilidad de alta gravedad en SmartSwitch (CVE-2024-49413, puntaje CVSS: 7.1) que podría permitir a atacantes locales instalar aplicaciones maliciosas aprovechando una verificación inadecuada de firmas criptográficas.
Cybersecurity researchers have detailed a now-patched security flaw impacting Monkey’s Audio (APE) decoder on Samsung smartphones that could lead to code execution.
The high-severity vulnerability, tracked as CVE-2024-49415 (CVSS score: 8.1), affects Samsung devices running Android versions 12, 13, and 14.
“Out-of-bounds write in libsaped.so prior to SMR Dec-2024 Release 1 allows remote attackers to execute arbitrary code,” Samsung said in an advisory for the flaw released in December 2024 as part of its monthly security updates. “The patch adds proper input validation.”
Google Project Zero researcher Natalie Silvanovich, who discovered and reported the shortcoming, described it as requiring no user interaction to trigger (i.e., zero-click) and a “fun new attack surface” under specific conditions.
Particularly, this works if Google Messages is configured for rich communication services (RCS), the default configuration on Galaxy S23 and S24 phones, as the transcription service locally decodes incoming audio before a user interacts with the message for transcription purposes.
“The function saped_rec in libsaped.so writes to a dmabuf allocated by the C2 media service, which always appears to have size 0x120000,” Silvanovich explained.
“While the maximum blocksperframe value extracted by libsapedextractor is also limited to 0x120000, saped_rec can write up to 3 * blocksperframe bytes out, if the bytes per sample of the input is 24. This means that an APE file with a large blocksperframe size can substantially overflow this buffer.”
In a hypothetical attack scenario, an attacker could send a specially crafted audio message via Google Messages to any target device that has RCS enabled, causing its media codec process (“samsung.software.media.c2”) to crash.
Samsung’s December 2024 patch also addresses another high-severity vulnerability in SmartSwitch (CVE-2024-49413, CVSS score: 7.1) that could allow local attackers to install malicious applications by taking advantage of improper verification of cryptographic signature.
En el mundo de la ciberseguridad, un sandbox o entorno de pruebas es una máquina virtual aislada en la que se puede ejecutar código de software potencialmente inseguro sin afectar a los recursos de red o a las aplicaciones locales.
El pentesting o Test de penetración, en español) es una técnica de ciberseguridad que consistente en atacar entornos informáticos con la intención de descubrir vulnerabilidades en los mismos, con el objetivo de reunir la información necesaria para poder prevenir en el futuro ataques externos hacia esos mismos …
El Servicio de Seguridad en Ciclo de Desarrollo es un enfoque integral que garantiza la protección de los proyectos de software desde su fase inicial de diseño hasta su implementación final. Esto implica integrar medidas de seguridad en cada etapa del proceso de desarrollo, desde la planificación hasta la entrega del producto. La importancia de este servicio radica en varios aspectos:
En resumen, el Servicio de Seguridad en Ciclo de Desarrollo es esencial para garantizar que los productos de software sean seguros, confiables y cumplan con los estándares de seguridad y privacidad, lo que resulta en beneficios tanto para la empresa como para sus clientes.
El Phishing Ético es una servicio que consiste en realizar actividades de Ingeniería Social con propósitos legítimos y éticos, generalmente como parte de una Campaña de Concientización, Evaluación de Seguridad, Prueba de un Pentesting o Red Team.
Para más información ingresa aquí: https://www.xpoint.cl/phishing-etico/
Un Red Team en ciberseguridad es un grupo de profesionales que simulan ser adversarios externos para evaluar la seguridad de un sistema o red. Utilizan tácticas similares a las de ciberdelincuentes reales, llevan a cabo pruebas de penetración, analizan riesgos y proporcionan recomendaciones para mejorar la seguridad. Su enfoque proactivo ayuda a las organizaciones a identificar y abordar vulnerabilidades, fortaleciendo así sus defensas contra amenazas potenciales.
La gestión de vulnerabilidades es un proceso integral que se centra en identificar, evaluar y abordar las debilidades en la seguridad de un sistema o red. Este proceso sigue varios pasos clave:
La gestión de vulnerabilidades es esencial para mantener la seguridad de la información en un entorno digital en constante cambio, minimizando el riesgo de explotación y fortaleciendo las defensas contra posibles amenazas.
