0Day en Samsung: cómo un controlador pone en riesgo los dispositivos con Exynos

Samsung lanzó una actualización de seguridad para solucionar la vulnerabilidad CVE-2024-44068 que afectaba a los dispositivos con procesadores Exynos. El error se encontraba en el controlador m2m1shot_scaler0, que se utiliza para el procesamiento de imágenes y videos, como el escalado y la decodificación de JPEG.

La vulnerabilidad CVE-2024-44068 (puntuación CVSS: 8.1), descubierta por los especialistas de Google, estaba relacionada con un manejo incorrecto de la memoria. En algunos casos, el controlador podía liberar páginas de memoria de manera incorrecta y luego reutilizarlas. Esta deficiencia permitía a los atacantes acceder a las páginas de memoria liberadas y ejecutar código malicioso. El problema afectaba a dispositivos con los procesadores Exynos 9820, 9825, 980, 990, 850 y W920 que no se habían actualizado a la versión SMR-Oct-2024.

El ataque explota un error del tipo Use-After-Free (UAF), que ocurre cuando se libera la memoria, pero se sigue utilizando. La explotación de la vulnerabilidad se basa en el uso de las páginas PFNMAP liberadas y su vinculación con páginas de I/O virtual.

Los atacantes podían manipular el controlador a través de llamadas IOCTL, logrando ejecutar ataques del tipo Kernel Space Mirroring Attack (KSMA). Este enfoque permitía reescribir las tablas de páginas del kernel y realizar operaciones arbitrarias con privilegios de sistema. Por ejemplo, en el teléfono Samsung S10 (G973FXXSGHWC2), el ataque permitía modificar procesos del sistema y ocultar actividades maliciosas.

Para llevar a cabo el ataque, los atacantes utilizaron llamadas del sistema mmap y mincore, que rastreaban el momento en que la memoria estaba vinculada a las páginas de I/O. Durante este proceso, el hacker liberaba la memoria, dejando el controlador en un estado en el que usaba páginas que ya no eran válidas.

Como parte de la solución a la vulnerabilidad, Samsung revisó la gestión de las referencias a objetos para las páginas PFNMAP, evitando así la reutilización de memoria liberada. Los especialistas recomiendan auditar el código fuente y probar todas las llamadas IOCTL como medidas clave para prevenir errores similares en el futuro.

La actualización de seguridad SMR-Oct-2024 está disponible para todos los dispositivos afectados. Se recomienda encarecidamente a los usuarios que instalen la actualización para evitar la posible explotación de la vulnerabilidad.