Falha zero-click no Android derruba serviço celular; Google diz 'não corrigir'
Um SMS WAP Push malformado derruba silenciosamente um processo do sistema do Android, sem interação da vítima, encerrando chamadas ativas e desativando o serviço celular; várias mensagens rápidas podem corromper os dados de SMS e fazer a telefonia falhar após cada reinício. O pesquisador relatou a falha à Google em maio e a divulgou em 29 de outubro, após rejeição do relatório e dos recursos. Segundo a divulgação, a Google classificou o caso como questão não relacionada à segurança e não vai corrigir, e não há evidência de exploração em atividade.
O que aconteceu
Pesquisador divulgou falha não corrigida no Android em que um SMS malformado, sem qualquer clique da vítima, encerra chamadas ativas e desativa o serviço celular. A mensagem não aparece na caixa de entrada e a reentrega pela operadora pode repetir o problema. Em teste, várias mensagens rápidas corromperam os dados de SMS e o serviço de telefonia passou a falhar após cada reinício.
Por que importa
Dispositivos que dependem de chamadas e de dados celulares podem ficar fora do ar sem aviso. A falha foi testada em Pixel 9 e em vários aparelhos Samsung Galaxy e da linha A. A Google classificou o caso como questão não relacionada à segurança e não vai corrigir, segundo a divulgação, deixando os dispositivos expostos.
O que fazer
Não há correção disponível. Mapear os dispositivos Android usados em chamadas críticas e em campo, e preparar resposta para quedas recorrentes de serviço celular. Acompanhar a posição da Google e das operadoras sobre a reentrega de SMS.
Para o time técnico
- Afetados
- Google Android (recebimento de SMS WAP Push) · Android, no recebimento de SMS WAP Push; testado em Pixel 9 e em vários aparelhos Samsung Galaxy e da linha A, segundo a divulgação.
- Exploração
- Sem CVE atribuído e sem evidência de exploração em atividade, segundo a divulgação. Falha divulgada publicamente em 29 de outubro pelo pesquisador.
- Correção
- Nenhuma correção disponível; a Google classificou como questão não relacionada à segurança e adotou 'não corrigir' (Won't Fix), segundo a divulgação.
- Vetor
- SMS WAP Push malformado enviado remotamente ao dispositivo; falha de negação de serviço sem interação do usuário. A mensagem não aparece na caixa de entrada e a reentrega pela operadora pode disparar a falha repetidamente. O envio rápido de várias mensagens pode corromper o conjunto de dados de SMS.
- Mais detalhes
- O pesquisador relatou a falha à Google em maio e a divulgou publicamente em 29 de outubro, após rejeição do relatório e de recursos posteriores. O SMS derruba um processo do sistema, encerrando chamadas ativas e desativando temporariamente o serviço celular; com o conjunto de dados de SMS corrompido, o serviço de telefonia falha após cada reinício.
Linha do tempo
Incidente aberto.
Fontes 1 fonte
- @DarkWebInformer @DarkWebInformer
