Фахівець із кібербезпеки Марк Блащиков виявив критичну вразливість, яка зачіпає смартфони з Android 12 та новішими версіями операційної системи. Проблема полягає в тому, що системна телефонна служба не може належним чином обробити спеціально сформоване SMS-повідомлення формату WAP Push. Для атаки не потрібні жодні дії власника пристрою, тож навіть користувач, який нічого не відкривав і нічого не підтверджував, може стати її жертвою.
Особливість уразливості в тому, що таке повідомлення не відображається у звичайній папці вхідних SMS. Операційна система намагається обробити його у фоновому режимі, унаслідок чого виникає системна помилка. Під час телефонних розмов можуть траплятися мимовільні роз’єднання, пристрій може тимчасово втрачати доступ до мобільної мережі, а отримання кількох таких повідомлень здатне взагалі зробити смартфон непридатним для використання. Відновлення працездатності після такого збою може потребувати втручання технічних фахівців, тобто звичайними діями користувача зазвичай не обійтися.
Додаткову небезпеку становить те, що йдеться не про фішингову схему, яка передбачає перехід за посиланням, відкриття вкладення або підтвердження операції. Достатньо самого факту отримання підготовленого SMS, після чого система самостійно запускає його обробку. Дослідники підтвердили проблему на смартфонах Google Pixel і Samsung Galaxy, проте потенційно вразливими вважаються всі пристрої з Android 12 і новіших версій. Це означає, що коло ризику охоплює широкий сегмент користувачів, а не окремі моделі.
Хронологія реагування Google також є показовою. Спочатку компанія відхилила повідомлення про проблему безпеки, яке дослідники надіслали ще у травні. Згодом інженерна команда Android розробила виправлення, що увійшло до жовтневого пакета оновлень безпеки для пристроїв з Android 14 та новішими версіями. Смартфони зі старішими версіями системи, зокрема з Android 13 і давнішими, залишаються вразливими, а для них окремого офіційного виправлення в цьому повідомленні не згадується.
Механізм виправлення розпізнає один із 20 потенційно небезпечних варіантів повідомлень. Якщо система виявляє таке SMS, вона не намагається його обробити, а одразу видаляє. Так усувається сама причина помилки, яка могла порушити роботу телефонних служб. Для користувачів новіших пристроїв основна рекомендація — перевірити наявність жовтневого оновлення безпеки від Google і встановити його, адже саме цей пакет запобігає обробці небезпечних WAP Push SMS. Власникам смартфонів з Android 13 та старішими версіями, за висновками дослідження, поки що залишається лише враховувати наявність цієї вразливості.
5
