В смартфонах на базе Android обнаружена критическая уязвимость, которая позволяет злоумышленникам дистанционно нарушать работу телефонного сервиса с помощью специальных SMS-сообщений. Как сообщает Android Authority, атака может незаметно прерывать текущие звонки, в том числе вызовы экстренных служб, а в отдельных случаях — сделать устройство практически непригодным для использования.
Проблему обнаружил исследователь безопасности Марк Бласчик. По его словам, Android не может корректно обработать определённое текстовое сообщение. Оно не отображается во входящих SMS, поэтому пользователь не получает уведомления и не видит неизвестного отправителя. Вместо этого сообщение вызывает аварийное завершение работы системного компонента, отвечающего за телефонные вызовы. Из-за этого смартфон может мгновенно прервать разговор, даже если пользователь звонит в экстренную службу.
Ситуацию осложняет то, что Android может снова и снова пытаться обработать вредоносное сообщение. В результате сбой повторяется. По оценке исследователя, около 20 таких SMS могут сделать смартфон практически непригодным для работы и потенциально вызвать циклическую перезагрузку.
Даже сброс до заводских настроек не обязательно поможет надолго, если мобильный оператор повторно отправит проблемные сообщения. Восстановление без полного очищения устройства может потребовать подключения к компьютеру и ручного удаления SMS, что для большинства пользователей будет сложной задачей.
Бласчик смог воспроизвести атаку на устройствах Google Pixel и Samsung Galaxy. Уязвимый программный код присутствует в Android начиная с версии 12, однако реальный риск зависит от того, получил ли конкретный смартфон соответствующее исправление. Устройства со старыми версиями операционной системы, которые больше не получают обновлений безопасности, могут оставаться незащищёнными.
Исследователь впервые сообщил Google о проблеме 5 мая, однако, по его словам, компания неоднократно отклоняла обращения, не считая уязвимость угрозой безопасности. Из-за этого Бласчик решил обнародовать информацию и 29 октября продемонстрировал работу атаки.
При этом Google на тот момент уже работала над исправлением. Согласно записям в открытом репозитории кода Android, компания подготовила его ещё 15 июня. Обновлённый программный код не позволяет вредоносному сообщению повторно вызывать сбой: система корректно обрабатывает ошибку и удаляет проблемное SMS, прежде чем оно нанесёт дальнейший ущерб.
Позже команда GrapheneOS уточнила в соцсети X, что Google распространила исправление через предыдущие версии обновлений безопасности ещё в июле — за несколько месяцев до публичного раскрытия проблемы.
