Samsung corrige falha que pode comprometer celular Android com recebimento de imagem

Fabricante sul-coreana integrou suporte ao formato de imagem Qmage em todos os aparelhos desde 2014. Veja quais modelos já receberam ou ainda serão atualizados. Samsung Galaxy [...]

Por Redação em 22/07/2020 às 07:56:15

Fabricante sul-coreana integrou suporte ao formato de imagem Qmage em todos os aparelhos desde 2014. Veja quais modelos já receberam ou ainda serão atualizados. Samsung Galaxy S20 Ultra

Celso Tavares/G1

A Samsung está distribuindo uma atualização para seus aparelhos de celular da linha Galaxy depois que um especialista do Google descobriu uma vulnerabilidade no código da fabricante responsável pelo processamento de um formato específico de imagens.

Por meio dessa falha, uma imagem maliciosa com um formato que só aparelhos da fabricante sul-coreana reconhecem poderia expor esses smartphones a invasores.

O arquivo pode ser enviado por mensagens multimídia (MMS) ou qualquer outro canal que leve o usuário a abrir a imagem com um dos apps compatíveis.

Até o momento, não há nenhum registro de que a brecha tenha sido explorada por hackers no mundo real, mas, de acordo com o especialista do Google Mateusz Jurczyk, ela está presente em todos os aparelhos da Samsung fabricados desde 2014, com o Android 4.4.4 ou superior.

Como o blog já apontou, a maioria dos celulares Android só recebe atualizações de sistema até dois anos após o lançamento.

No entanto, a Samsung enviou uma lista de aparelhos que receberam ou ainda terão o pacote como uma "atualização especial", apesar de alguns modelos não receberem mais atualizações regulares. A relação inclui aparelhos como o Galaxy Note 5, de 2015 (confira a tabela ao final do texto).

Jurczyk iniciou uma série de publicações detalhando a falha na quinta-feira (16) e diz que detectou a falha também em um Galaxy Note 4 de 2014, mas, em um documento oficial sobre atualizações, a fabricante tinha confirmado o problema apenas nas versões 8.0 e mais recentes do Android.

Invasão com uma mensagem

O especialista do Google que descobriu a brecha faz parte do "Projeto Zero", uma equipe formada para encontrar problemas de segurança em qualquer produto ou software popular, mesmo que não haja relação com o Google.

Segundo Jurczyk, o erro está em uma modificação feita pela Samsung no Skia, um componente de funções gráficas que é utilizado por vários projetos, como Firefox, Chrome e Android. Por meio do Skia, celulares conseguem exibir arquivos de imagem em formatos como JPG, PNG e GIF.

A Samsung modificou o Skia incluído em seus celulares para processar também as imagens "Qmage" – um formato da própria Samsung que não é comum na web. Um erro de programação nesse código deixa o aparelho exposto a ataques.

Como o código da Samsung está embutido no Skia, todos os aplicativos executados no celular (como o app de Galeria ou de Mensagens) são capazes de abrir as imagens "Qmage", mesmo que não tenham código específico para esse formato.

Por essa razão, a falha também pode ser explorada por meio desses apps.

Jurczyk diz que levou aproximadamente 100 minutos para desenvolver uma imagem Qmage capaz de explorar a falha de processamento encontrada por ele.

Com uma mensagem multimídia (MMS), a imagem maliciosa pode chegar a praticamente qualquer aparelho. Em smartphones que não são Samsung, ela não causaria danos porque eles não reconhecem o formato Qmage.

Nos aparelhos vulneráveis, a vítima não precisa necessariamente interagir com a mensagem – apenas o recebimento pode desencadear o processamento do arquivo recebido, iniciando a exploração da falha.

Usuários podem desativar o download automático das mensagens MMS, mas isso não impediria outros métodos de ataque.

Outras proteções do Android ainda precisam ser levadas em conta em um ataque no mundo real. Cada aplicativo no Android é executado em isolamento, o que significa que um invasor precisa se aproveitar também de outras vulnerabilidades para conseguir acesso total ao celular.

Sem essas outras vulnerabilidades, o invasor terá apenas o mesmo acesso que o aplicativo de mensagens, podendo ler os contatos e as mensagens SMS do aparelho.

O acesso ao app de mensagens em si traz riscos, já que pode permitir a burla de mecanismos de confirmação em duas etapas que funcionam por SMS ou da confirmação de número do WhatsApp, por exemplo.

Jurczyk demonstrou um ataque completo no Galaxy Note 10, mas afirmou que deve ser possível explorar a falha em outros modelos. "Pelo que sei, não há qualquer barreira fundamental a ataques contra versões mais antigas do sistema e prevejo que um ataque similar funcionaria em versões anteriores dos aparelhos da Samsung", escreveu o especialista.

Consulta do nível do patch de segurança do Android, mostrando data de maio de 2019.

Reprodução

Como saber se o Android está atualizado

Abra as configurações do aparelho

Role até o fim da lista e toque em Sistema

Toque em "Sobre o dispositivo"

Toque em "Versão do Android"

Atente para a informação de "nível do patch de segurança". O ideal é que o nível seja o mesmo do mês corrente. Porém, um telefone que tiver uma atualização de até 2 meses antes (patch de agosto em outubro, ou de setembro em novembro, por exemplo) pode ser considerado "atualizado".

Se o seu aparelho não tiver a informação de "nível do patch de segurança" ou semelhante, sua versão do Android é bastante antiga e está desatualizada.

De acordo com a Samsung, o tempo de disponibilização da atualização para cada modelo pode variar. Os primeiros modelos foram atualizados em maio, mas outros receberam as atualizações em junho ou julho. A disponibilidade da atualização também pode variar por país, segundo a fabricante.

Lista de modelos

Veja aparelhos que já receberam atualização, segundo a Samsung:

Galaxy Fold

Galaxy Note10

Galaxy Note10 Lite

Galaxy Note10+

Galaxy Note8

Galaxy Note9

Galaxy S10

Galaxy S10 Lite

Galaxy S10+

Galaxy S10e