Se você tem um smartphone Samsung com até seis anos de fabricação, fique esperto. A fabricante está enviando desde a semana passada atualizações de segurança para um problema descoberto em janeiro, mas só anunciado nesta semana.
A falha afeta todos os telefones Galaxy fabricados de 2014 para cá e permite a um hacker controlar o aparelho a distância. O mais grave da falha é que ela é do tipo “zero cliques”, ou seja, o usuário não precisa realizar nada de diferente ou errado no uso do aparelho para ser uma vítima.
A vulnerabilidade só existe em celulares Samsung. A fabricante sul-coreana pega o sistema Android puro do Google e faz suas próprias adaptações de design e funcionalidades. Outras fabricantes, como LG, Sony e Asus, também fazem esse processo, mas a falha de segurança surgiu de uma alteração da Samsung em uma parte específica do sistema.
Em termos técnicos, trata-se de uma execução remota arbitrária de código (RCE, na sigla em inglês) que atinge a bilbioteca de imagens do celular. A falha tem a ver com a forma como os telefones Samsung lidam com o formato de imagem Qmage (.qmg), criado para formar miniaturas que representam o arquivo de imagem maior —os “thumbnail previews”.
Imagens com extensões diversas, como .jpg, .gif e .bmp, são processadas por aparelhos Samsung usando a biblioteca de gráficos padrão da Android, a Skia, para gerar as miniaturas. Quando faz isso com as imagens com extensão .qmg, é nesse processo que a falha se localiza.
Para ser explorada, um invasor precisa bombardear o celular com entre 50 e 300 mensagens de celular do tipo MMS (sigla em inglês para serviço de mensagens multimídia) que aceita outros conteúdos além de texto, como fotos e vídeos.
O objetivo das mensagens é disparar códigos capazes de descobrir onde a biblioteca Skia estava localizada na memória do dispositivo. O pesquisador que encontrou o problema, Mateusz Jurczyk, do Google Project Zero (equipe da empresa que caça bugs), explica que todo o processo deve levar cerca de 100 minutos, e para que funcione, é preciso que a vítima esteja na tela principal do Android, sem usar nenhum aplicativo.
A Samsung foi avisada do erro e enviou a correção de segurança para seus celulares há alguns dias. Mas como o Android é um sistema fragmentado, essa correção privilegia celulares mais novos. Segundo o site Gizmochina, já teriam chegado aos modelos: Galaxy S20; Galaxy Z Flip; Galaxy Fold; Galaxy Note 10; Galaxy S10 e Galaxy A50.
Os mais antigos – com mais de um ano de lançamento – ainda não devem ter sido contemplados.
O bug é chamado de SVE-2020-16747 no boletim de segurança da Samsung, e CVE2020-8899 no banco de dados Mitre CVE, que cataloga vulnerabilidades. Procurada por Tilt, a Samsung ainda não se pronunciou.
Esse tipo de falha “zero clique” também atinge celulares da Apple: a mesma equipe do Project Zero encontrou uma assim em 28 de abril, que atingia a estrutura de framework Image I/O, e afetava iPhones, iPads, Macs e Apple Watches.