Onderzoeker kan via vijf bugs op afstand app installeren op Samsung Galaxy S24

Een beveiligingsonderzoeker van de NCC Group heeft tijdens de Pwn2Own-hackwedstrijd een manier gedemonstreerd om op afstand een app te installeren op een Samsung Galaxy S24. Daarvoor misbruikte hij vijf tot nu toe onbekende bugs.

De onderzoeker, Ken Gannon, wist via de kwetsbaarheden een shell op het toestel te krijgen, waarna hij een app kon installeren. Dat beschrijft Zero Day Initiative, dat Pwn2Own organiseert, in een blog over de tweede dag van de wedstrijd. Voor die aanval ontving Gannon een beloning van 50.000 dollar, de hoogste beloning van de dag. De kwetsbaarheden worden met Samsung gedeeld, zodat het bedrijf updates kan ontwikkelen om ze te dichten.

Pwn2Own is een wedstrijd waar beveiligingsonderzoekers beloond worden om onbekende kwetsbaarheden in veelgebruikte software en smartphones te demonstreren. Deze editie wordt in Ierland gehouden. Onderzoekers kunnen onder meer smart speakers, smartphones en printers aanvallen. De wedstrijd duurt nog tot vrijdag.

De hoogste beloning tot nu toe werd op de eerste dag van de wedstrijd uitgegeven aan een onderzoeker van Summoning Team, aldus de organisatie in een blog met de resultaten van deze dag. Hij won 100.000 dollar voor een aanval waarbij hij vanaf de router QNAP QHora-322 bij de TrueNAS Mini X wist te komen. De onderzoeker gebruikte daarvoor negen verschillende bugs.

Reacties (63)

[Tusk]

Ipv een alinea met achtergrondinformatie, som ff de 5 bugs op...nu moet ik dat zelf weer uit die blog gaan zitten filteren.

[JeroenED]

Dan heb je het artikel niet gelezen. Er staat duidelijk dat de bugs eerst gemeld worden bij samsung voor ze publiek gemaakt worden. Niet geheel onlogisch lijkt me

[trick2011]

De kwetsbaarheden worden met Samsung gedeeld, zodat het bedrijf updates kan ontwikkelen om ze te dichten.

Er staat dat ze gedeeld worden en dat samsung het kan dichten, niet dat het niet bekend gemaakt is.

Nu wordt alleen op de website van zero day inititive gezegd onder het kopje 'hoe het werkt':

We notify the affected vendor before sharing the research with other vendors and the public.

Dus je hebt gelijk, het staat alleen niet zo eenduidig in dit tweakers artikel.

[WillySis]

Wees blij dat de bugs niet worden genoemd. Dat zou hackers onmiddellijk de kans geven om die te gebruiken, voordat er ook maar een gelegenheid is geweest om de bugs te patchen.

Dit is goed gebruik bij beveiligingsbedrijven en universiteiten. Bugs worden natuurlijk wel bij de bedrijven zelf gemeld, vaak met een datum waarop men de bugs wel wereldkundig maakt.

[dasiro]

het is natuurlijk een zwaard dat aan 2 kanten snijdt: je weet nu ook niet op welke manier je kan mitigeren door bvb bepaalde poorten te blokkeren of bepaalde apps tijdelijk te verwijderen, want als 1 iemand het kan vinden, dan kunnen er ontelbaar veel mensen/organisaties dezelfde bug gevonden hebben en ondertussen actief misbruiken zonder dat je het weet of je proberen te verweren.

[WillySis]

Het gaat hier om zero-day bugs.
Anderen kunnen die natuurlijk ook vinden, maar dat zullen ze wel zelf moeten doen. Zodra de bugs gepubliceerd worden kunnen die direct misbruikt worden. Dat maakt dat het actief misbruik van de bugs dagen tot weken versneld kan worden.

[Nap]

Als er al veel mensen actief misbruikt worden door deze specifieke bugs, is het juist noodzaak om niet extra olie op het vuur te gooien en mensen (in detail) in te lichten waar ze zijn en wat ze doen.

Voor alle systeembeheerders van deze wereld: De goede zullen er vast geen last van hebben, de slechte merken het waarschijnlijk niet.

[dasiro]

De goede zullen er vast geen last van hebben, de slechte merken het waarschijnlijk niet.

de goeden zijn net degenen die zullen proberen om er toch al iets aan te doen om erger te voorkomen. De slechten kunnen het heel hard merken als heel hun productieomgeving om zeep is.

Als je het bericht van de fortimanager exploit van vandaag/2 weken geleden leest, dan weet je bvb wat er aan de hand kan zijn (al was het confidential).

[Nap]

Het mes snijdt aan 2 kanten, een systeembeheerder die zijn of haar taak begrijpt is ook beter op de hoogte en zal maatregelen kunnen treffen. Verder, als je hele productieomgeving om zeep is door zoiets, is dat niet alleen pech.

Verder ken ik Fortimanager niet, maar je hoeft geen systeembeheerder te zijn om hierover iets zinnigs te kunnen zeggen.

[Reactie gewijzigd door Nap op 24 oktober 2024 17:38]

[dasiro]

Dat was mijn quote als je weet dat er iets gevaarlijks is, wil je weten waar je extra op moet letten, dat wil daarom niet zeggen dat er direct een proof-of-concept moet zijn die uitlegt wat/hoe je het exploit. Nu klinkt het alsof het zo erg is dat je er niets tegen kan doen.

FYI: fortimanager wordt gebruikt om je fortinet-devices centraal te managen, gaande van firewalls over switchen en AP's tot VPN-verbindingen en misschien nog wel wat meer, daar wil je dus geen unauthorized access op hebben (wat door de exploit dus mogelijk was).

[HakanX]

Gelukkig heb ik doorgeklikt. Dit artikel is werkelijk niks naast het orgineel. Zoveel meer belangrijke bugs. Maar Tweakers mikt tegenwoordig op een breder doelgroep, waarin een titel met een Samsung topmodel meer kliks oplevert.

[MiTr]

Vraag mij af op welke blog jij terecht bent gekomen, maar ik krijg niet heel veel meer info dan die hier in het artikel staat (over het betreffende onderwerp waar dit artikel over gaat).

SUCCESS - Ken Gannon (@yogehi) of NCC Group (@NCCGroupInfosec) used five different bugs, including a path traversal, to get a shell and install an app on the Samsung Galaxy S24. He earns $50,000 and 5 Master of Pwn points.

[Binnux]

De doelgroep constatering deel ik. Ondanks potentieel goede inet zoekmogelijkheden wordt informatie vinden weer tot kunst verheven.

[sircampalot]

Opgeteld kom ik bij 14 bugs.
Waarvan er zeker 5 onbekend waren bij de fabrikant.

Deze meneer Ken Gannon heeft ze vast niet gisteren ontdekt.
Hij had de bugs veel eerder moeten melden ipv te gaan pronken op een wedstrijd.

Overigens wel erg knap dat een aanvalsvector uit 9 bugs bestaat.
Ik kan me niets voorstellen bij zoveel stappen.

Edit: kunnen de twee mods die -1 gegeven heeft, hun motivatie even toelichten? Een mod van 0 kan ik me wel wat bij voorstellen.

[Reactie gewijzigd door sircampalot op 24 oktober 2024 09:39]

[Thmzy]

Het is een enge gedachte dat iemand willens en wetens bugs achter de hand heeft gehouden om deel te nemen aan zo'n wedstrijd.

Het kan ook zijn dat deze bugs zijn ontdekt juist doordat mensen dieper gingen graven met deze wedstrijd in gedachte.

Laten we hopen dat het laatste van toepassing is.

[TrueGamer]

Dan had samsung een soortgelijk bounty programma moeten bieden als ze dat echt belangrijk hadden gevonden.

Net of je zo gemakkelijk 50.000 laat liggen..

[D-Three]

Hebben ze ook: https://security.samsungmobile.com/rewardsProgram.smsb
Of het ook 50k had opgeleverd, weet ik niet. Maar ik denk ook niet dat dat de grootste drijfveer was, want dan had hij het ook op een andere markt kunnen verkopen.

[Reactie gewijzigd door D-Three op 24 oktober 2024 09:20]

[Thmzy]

Dat is niet helemaal mijn beredenering en ik betreur het dat je het draait naar een keuze of ik 50.000 dollar wil of niet.

Wat ik bedoelde met bovenstaand is:
- dat het goed is dat dit soort wedstrijden er zijn, want het motiveert om exploits en bugs te vinden door middel van geld uit te keren aan iemand die ze vindt.
- dat het ook een schaduwkant kan hebben, doordat bugs en exploits pas naar buiten komen via zo'n wedstrijd en dus niet eerder.

Mijn inziens is dat onder aan de streep nog steeds een pluspunt, want het heeft iets opgeleverd.

Overigens, volgens mij wist de persoon niet hij er 50.000 dollar mee kon verdienen. Dat bedrag is achteraf pas vastgesteld denk ik?

[Qwerty-273]

Nou ja, de bugs zitten er in door de fabrikant/ontwikkelaar en niet door de beveiligingsonderzoeker Hij houdt de bug dus niet echt achter de hand. Het is daarnaast de vraag of de bewuste bugs eerder zijn ontdekt door deze persoon, of dat de bug vergelijkbaar is met eerder ontdekte bugs (kan ook op totaal andere hardware zijn) en deze onderzoeker heeft gedacht, laat ik dit eens proberen en verbaast stond dat het ook op dit toestel van toepassing is.

Verder wellicht wat achtergrond, dit evenement werd midden juli aangekondigd. In die aankondiging werden ook de drie toestellen (S24, Pixel 8 en iPhone 15) die als onderzoeksobject waren uitgekozen bekend gemaakt. Als je mee doet dan kan je vanaf die tijd gericht gaan zoeken en graven wat er wel en niet mogelijk is. Ik verwacht dan ook niet dat de hele chain van nodige bugs al (lang) eerder bekend is geweest.

Zie de aankondiging op : https://www.zerodayinitia...cing-pwn2own-ireland-2024

[CharlesND]

Het is een enge gedachte dat iemand willens en wetens bugs achter de hand heeft gehouden om deel te nemen aan zo'n wedstrijd.

Deze meneer is iemand die het als werk of hobby leuk vindt om kwetsbaarheden in software te ontdekken. Nu blijkt dat hij zijn bevindingen niet direct doorgeeft moeten we hem dan maar onder verscherpt toezicht stellen? Moet deze engerd verplicht elke week z'n computer laten doorzoeken of hij niet toevallig nog een kwetsbaarheid heeft ontdekt zonder die door te geven?

[Thmzy]

Nu blijkt dat hij zijn bevindingen niet direct doorgeeft moeten we hem dan maar onder verscherpt toezicht stellen?

Waar heb jij het over?

[DePruus]

Of goed verkopen aan sommige landen. Dat levert VEEL meer op. Weer dat geld als motivator. Slecht hoor!

[pebertje01]

Tja je kunt dat slecht vinden, maar ik ben bang dat wanneer er geen kraaltjes, spiegeltjes en geld zou zijn wij nu via de tamtam zouden communiceren. Geld blijft een enorme motivator in slechte ... en goede zaken.

[WouterL]

Waarvan dus 9 (misschien iets minder) bekend. Samsung had wel eerder mogen patchen in plaats van afwachten tot het wordt misbruikt

[Reactie gewijzigd door WouterL op 24 oktober 2024 07:56]

[sircampalot]

Volgens het stuk zijn er 5 van toepassing op Samsung, deze bugs werden pas na de wedstrijd met Samsung gedeeld.
Samsung kon dus niet eerder patchen.

[latka]

Samsung heeft de bugs van origine gemaakt. Als ze zelf meer tijd en moeite erin gestoken hadden dan hadden ze het ook eerder geweten en patches kunnen maken.

[sircampalot]

Dan komt een product nooit op de markt.
Ik vind in mijn software ook wel eens een bug die er al jaren in zit.

Heeft niets met opzet te maken, testen misschien wel, maar je test zo ver je fantasie gaat, wederom geen opzet.

[Blokker_1999]

Samsung moet eerst weten dat die bugs er zijn voor ze kunnen patchen.

[latka]

Hmm. Tricky. Ze wisten dat er bugs in zaten, want ze hebben de code van origine ook gemaakt. En ieder stuk software zit bugs in, dus effectief wisten ze dat ze bugs uitgeleverd hadden. Wat we niet weten is of ze uberhaupt een intern systeem hebben om dit soort bugs te op te sporen en op te lossen of (en dat zou me niets verbazen) gewoon wachten op meldingen van buiten want de hele software markt (en gebruikers) zijn er zo aan gewend dat er geen busines case te maken is voor pro-actief bugs fixen.

[Brummetje]

Jij bent vast geen software ontwikkelaar als je uitspraken doet zoals "ze wisten dat er bugs in zaten".
Er bestaat geen software zonder bugs

[latka]

Inorrect. Ben ontwikkelaar ;-) Mijn code bevat nooit bugs

[Gepetto]

Er bestaat geen software zonder bugs

Jawel hoor.


%!
0 700 moveto { (Hello world) show 0 -14 rmoveto } loop

Zeg maar waar de bug zit.

[Reactie gewijzigd door Gepetto op 24 oktober 2024 16:40]

[Brummetje]

Dat is gewoon een klein stukje code

[YGDRASSIL]

Als Samsung geen $50.000 over heeft voor die bugs snap ik best dat ie even heeft gewacht.

[com2,1ghz]

Huh wat? Meneer mag wel degelijk hiermee pronken en credits voor krijgen. Achtergehouden of niet. Samsung is een commerciële partij en die man is geen medewerker oid heeft arbeid voor verricht om die vulnerabilities te achterhalen. Hij heeft het netjes gedemonstreerd en verwacht daar iets voor terug.

[sircampalot]

Je weet niet hoe lang deze meneer al van deze 5 bugs af wist.
Sterker nog, de ene bug zal hij langer kennen dan de andere.
Misschien al jaren.

Natuurlijk verdiend hij credits voor zijn werk, maar hoe ethisch is het dan nog?

[Reactie gewijzigd door sircampalot op 24 oktober 2024 11:28]

[com2,1ghz]

Het is de verantwoordelijkheid van Samsung om een veilig besturingssysteem te faciliteren. Als je het hebt over ethiek kan je ook jezelf afvragen waarom een miljardenbedrijf zich hierin heeft verzaakt.

Als developer weet ik dat software bouwen complex is en met het gebruik (een combinatie) van tig libraries het vrijwel onmogelijk is om zero days te voorkomen.
Het is nogal vergezocht om die onderzoeker te verdenken dat hij het achter de hand heeft gehouden. Lijkt me ook sterk dat deze bugs er jarenlang in hebben gezeten.

[sircampalot]

Wij zijn het wel eens denk ik.

[Blokker_1999]

Neen, die zijn inderdaad niet gisteren ontdekt, maar kan soms een werk van maanden zijn. En dan verwacht jij dat zulke mensen die er zoveel tijd insteken de bugs onmiddelijk melden, er geen erkenning voor krijgen en er niets aan mogen verdienen?

Je mag net blij zijn dat deze mensen deelnemen aan iets als Pwn2Own en ze niet gaan verkopen op de zwarte markt waar er ongetwijfeld nog meer geld te rapen valt.

[neonite]

Wees blij dat hij ze als ethisch hacker meld bij Pwn2Own. Hij had evengoed 2.5 miljoen kunnen vangen bij Zerodium

[Cloxxki]

Samsung geeft blijkbaar niet genoeg uit aan testers. Als Gannon zoveel kan doen met wat Samsung zelf niet kan vinden, is hij een zeer hoog salaris waard. Wellicht blijft hij liever onafhankelijk om meer verschillende fabrikanten te kunnen melken.
Zonder zulke wedstrijden hebben bepaalde onderzoekers wiens vaardigheden en tijd absoluut geld waard zijn, weinig reden zelfs maar te zoeken naar bugs, laat staan ten behoeve van miljoenen consumenten. Met zulke vaardigheden kun je in de criminaliteit een zeer comfortabel leven hebben.

[MartinPTweak]

Als S24 eigenaar gezocht naar wat ik nu zou kunnen doen hiertegen.
Kom niet verder dan deze post op security.nl van Anoniem:

Wel een serieuze kwetsbaarheid maar lastig uit te voeren. Telefoons ontvangen iedere 2 uur, of eerder, een ander IP adres dus om de aanval succesvol te maken moet je weten op welk ip adres een S24 toestel luistert. Niet geheel onmogelijk maar wel heel erg lastig uit te voeren zonder heel veel middelen en heel veel tijd. Of het toestel moet op jouw wifi zitten waar je bij kunt. Anders is het risico op een succesvolle aanval vrij klein te noemen.
Dat zie je wel vaker voorbij komen. Kwetsbaarheden worden met de grote high/high tamtam gebracht alsof de wereld vergaat maar als je deze gaat downdrillen naar waarschijnlijkheid en kans dan halen ze vaak de medium classificatie niet eens. Ik zeg niet dat je ze niet serieus moet nemen maar je moet wel even de dreigingen onderzoeken of ze voor jou ook toepasbaar zijn en hoe eenvoudig/moelijk dat dan is voordat je pas echt een serieus risico loopt.

Dus voorlopig maar niet op onbekende wifi netwerken inloggen?

Bron

[Reactie gewijzigd door MartinPTweak op 24 oktober 2024 07:59]

[HakanX]

Dat zie je wel vaker voorbij komen. Kwetsbaarheden worden met de grote high/high tamtam gebracht alsof de wereld vergaat maar als je deze gaat downdrillen naar waarschijnlijkheid en kans dan halen ze vaak de medium classificatie niet eens.

Dus puur vanwege de beperkte fantasie van iemand is de bug niet zo erg. Eén besmet apparaat binnen je huishouden of werkomgeving (kan ook een kwaadaardig persoon zijn) en iedere S24 kan stilletjes besmet raken. De S24 heeft vele verkooprecords verbroken en is recent, dus je kan prima blind aanvallen en aardig raak hebben.
Binnen een groot bedrijf dat wifi met enkel wachtwoord aanbied kan je ook je eigen rogue hotspot opzetten met hetzelfde wachtwoord en wachten tot apparaten met jouw hotspot verbinden. Zo is de firewall ook buitenspel. Leuk in een hotel ook.

[Blokker_1999]

Er is een succesvolle manier getoont waarop het kan, maar er wordt niet openbaar gemaakt hoe men het gedaan heeft. Je kan dus niet zomaar op zoek gaan naar manieren om dit tegen te gaan. Het doel van heel deze actie is net op een ethische manier omgaan met bugs, dus ook werken met responsible disclosure. Samsung kan nu aan de slag om deze bugs op te lossen en daarna pas zal er gepubliceerd worden wat er mis was.

Wat je dus moet doen is je telefoon up-to-date houden.

En die eerste paragraaf is ook weer geschreven door iemand die probeert iets zo te vereenvoudigen dat heel de boodschap wat mij betreft de mist in gaat. Natuurlijk moet je bij een gerichte aanval weten wat het IP adres van je doelwit is. Al snap ik niet waar hij die 2 uur vandaan haalt, want door gewoon dat al te schrijven verlies je bij mij geloofwaardigheid.

Terwijl de tweede paragraaf net de basis omschrijft van wat een goed security beleid inhoudt. Je moet altijd een inschatting maken van hoe ernstig iets is in je eigen omgeving. Dat is de logica zelve.

[CPV]

Dus voorlopig maar niet

Nou, dat lijkt me wel wat paranoïde. Je ziet wat ze er in Ierland voor hebben moeten organiseren, dus jou zal het niet zo snel overkomen.

[DigitalExorcist]

Ach kom. Als er iets simpel is, is het wel om te achterhalen welke telefoons S24-devices zijn. Even je DHCP logjes erbij pakken en klaar...

[Marctraider]

Volgens mij schort het aan het artikel als ik nu zelf op onderzoek uit moet gaan hoe de exploit werkt, toch?

Anyway, dit is vast en zeker weer een gevalletje standaard Android firewall wagenwijd open (zowel in als uit), en de enige manier om je telefoon te waarborgen qua veiligheid is rooten + een firewall solution (afwall)

En dan vervolgens als vendor klagen, booohooo je telefoon mag dit en dat niet, voldoet niet aan security integrity dmw being rooted.

Wat een wereld..

[Reactie gewijzigd door Marctraider op 24 oktober 2024 08:31]

[TwiekertBOB]

Ik kom niet verder dan: Blijf uit de buurt van Ierland, want daar lopen nu wat knappe hackers rond.

[Blokker_1999]

Men maakt opzettelijk niet bekend hoe de exploits werken. Er moeten eerst patches beschikbaar zijn, anders maak je het weer kinderlijk eenvoudig voor mensen met minder goede bedoelingen om dit gaan te misbruiken.

[PD2JK]

Was dit met een kale Android versie niet gelukt?
M.a.w., zaten de bugs in Samsung's UI schil?

[latka]

Is nog niet bekend, maar ga er gewoon vanuit dat ieder stuk software bugs bevat waar een deel security bugs van zijn en je zit ongeveer op het niveau van de software industrie anno 2024.

[DoomSayerSantos]

instelleren

[Kjoe_Ljan]

forumtopic: Meld hier spel- en tikfoutjes - en dus *geen* andere foutjes

[Master FX]

forum: Geachte redactie

[CMG]

5 0days gebruiken om 50k te winnen… zijn security firma’s die hier tot 3 miljoen voor betalen… nadeel daarvan is dan weer dat het verkocht wordt aan overheden 😅 maar toch…

[Van der Berg]

Juist goed dat dit wordt gedaan en nu is het hopen dat Samsung dit snel oplost door snel een update uit te brengen. Ik en mijn vrouw gebruiken beiden ieder actief Norton 360 op onze S24 Ultra en op mijn Tab S10+.

Heeft dit ook betrekking op de Samsung Galaxy Tab S10 generatie? Zojuist heb ik op mijn S24 Ultra geüpdatet naar beveiligingsupdates van 1 oktober

[Reactie gewijzigd door Van der Berg op 24 oktober 2024 08:56]

[flashback1989]

AV op een telefoon is niet echt nodig. meer common sense om bv geen apps te installeren buiten de store enzo

[Van der Berg]

In dat geval heeft het dus geen betrekking op mijn? Ik installeer niets buiten de officiële store. Bij mijn provider heb ik dit ook volgens mij geblokkeerd:

Aankopen bij derde partijen Dit is om te voorkomen dat je aankopen bij derde partijen betaald worden via je Odido factuur

[Reactie gewijzigd door Van der Berg op 24 oktober 2024 09:31]

[Tweddy]

Is het verstandig ook offline backups te maken als je een NAS gebruikt?

[Alex3]

Als er buiten je nas geen andere kopieën van je data zijn zeker wel.

[NLxDoDge]

Dat is toch altijd al het geval?

Die NAS staat maar op een plek, stel je huis gaat in vlammen op. Dan ben je al je data kwijt. Of de PSU vat vlam, om maar een voorbeeld te noemen.

Echt belangrijke dingen zet ik ergens in een cloud neer of met een Synchronisatie tool op meerdere persoonlijke devices, dan weet je pas echt zeker dat je een goede back-up hebt.

[Tweddy]

Ik bedoelde het eigenlijk vanuit het artikel dat je gegevens ook van afstand gestolen of gekaapt kunnen worden maar ook vanwege brand of diefstal van de fysieke NAS inderdaad.

[Damic]

Zouden dezelfde bugs in de S24+ zitten of in andere toestellen en was de S24 gewoon de simpelste?