Topo

Falha permite controlar a distância celulares Samsung lançados após 2014

Estúdio Rebimboca/UOL
Imagem: Estúdio Rebimboca/UOL

Márcio Padrão

De Tilt, em São Paulo

09/05/2020 15h33Atualizada em 10/05/2020 15h23

Se você tem um smartphone Samsung com até seis anos de fabricação, fique esperto. A fabricante está enviando desde a semana passada atualizações de segurança para um problema descoberto em janeiro, mas só anunciado nesta semana.

A falha afeta todos os telefones Galaxy fabricados de 2014 para cá e permite a um hacker controlar o aparelho a distância.

O mais grave da falha é que ela é do tipo "zero cliques", ou seja, o usuário não precisa realizar nada de diferente ou errado no uso do aparelho para ser uma vítima.

A vulnerabilidade só existe em celulares Samsung. A fabricante sul-coreana pega o sistema Android puro do Google e faz suas próprias adaptações de design e funcionalidades. Outras fabricantes, como LG, Sony e Asus, também fazem esse processo, mas a falha de segurança surgiu de uma alteração da Samsung em uma parte específica do sistema.

Em termos técnicos, trata-se de uma execução remota arbitrária de código (RCE, na sigla em inglês) que atinge a bilbioteca de imagens do celular. A falha tem a ver com a forma como os telefones Samsung lidam com o formato de imagem Qmage (.qmg), criado para formar miniaturas que representam o arquivo de imagem maior —os "thumbnail previews".

Galeria da Samsung - Reprodução - Reprodução
App de Galeria da Samsung
Imagem: Reprodução

Imagens com extensões diversas, como .jpg, .gif e .bmp, são processadas por aparelhos Samsung usando a biblioteca de gráficos padrão da Android, a Skia, para gerar as miniaturas. Quando faz isso com as imagens com extensão .qmg, é nesse processo que a falha se localiza.

Para ser explorada, um invasor precisa bombardear o celular com entre 50 e 300 mensagens de celular do tipo MMS (sigla em inglês para serviço de mensagens multimídia) que aceita outros conteúdos além de texto, como fotos e vídeos.

O objetivo das mensagens é disparar códigos capazes de descobrir onde a biblioteca Skia estava localizada na memória do dispositivo. O pesquisador que encontrou o problema, Mateusz Jurczyk, do Google Project Zero (equipe da empresa que caça bugs), fez um vídeo demonstrando.

Perceba, ao longo do vídeo, que o contador no aplicativo de mensagens MMS vai aumentando a numeração —são as mensagens em massa chegando e tentando explorar a falha, em um processo de tentativa e erro.

Todo o processo deve levar cerca de 100 minutos. Ao final, quando finalmente consegue atingir a falha, ele demonstra abrindo o app de calculadora do celular remotamente. Para que funcione, é preciso que a vítima esteja na tela principal do Android, sem usar nenhum aplicativo.

A Samsung foi avisada do erro e enviou a correção de segurança para seus celulares há alguns dias. Mas como o Android é um sistema fragmentado, essa correção privilegia celulares mais novos. Segundo o site Gizmochina, já teriam chegado aos modelos:

  • Galaxy S20
  • Galaxy Z Flip
  • Galaxy Fold
  • Galaxy Note 10
  • Galaxy S10
  • Galaxy A50

Os mais antigos —com mais de um ano de lançamento— ainda não devem ter sido contemplados.

O bug é chamado de SVE-2020-16747 no boletim de segurança da Samsung, e CVE-2020-8899 no banco de dados Mitre CVE, que cataloga vulnerabilidades.

Procurada por Tilt, a Samsung ainda não se pronunciou.

Esse tipo de falha "zero clique" também atinge celulares da Apple: a mesma equipe do Project Zero encontrou uma assim em 28 de abril, que atingia a estrutura de framework Image I/O, e afetava iPhones, iPads, Macs e Apple Watches.