Een lek in Samsungs implementatie van het media transfer protocol, oftewel mtp, maakte het mogelijk om via een usb-verbinding bestanden uit te lezen op een vergrendelde Samsung-smartphone. De fabrikant fikste het lek met de beveiligingsupdate van november.

 

Samsung-smartphones die de beveiligingsupdate van november niet hebben gehad, blijven kwetsbaar voor de exploit. Omdat het lek vermoedelijk veel modellen treft die de fabrikant tussen 2012 en 2017 heeft uitgebracht, bestaat de kans dat veel toestellen de patch niet of laat zullen ontvangen.

Het lek, dat ontdekker Salvatore Mesoraca MTPwn heeft genoemd, maakt gebruik van de wijzigingen die Samsung heeft aangebracht in het mtp-protocol, waarmee het mogelijk is om vanaf een desktop via usb bestanden uit te lezen en te wijzigen op een aangesloten apparaat.

Mesoraca claimt dat het lek werkt door een client te schrijven die een verzoek naar het apparaat stuurt om een lijst te maken van partities en file-id's. Samsung-smartphones die door de onderzoeker werden getest, voldeden aan dat verzoek. Dat gebeurde terwijl het scherm vergrendeld was.

De kwetsbaarheid is bruikbaar op Samsung-smartphones met Android 4.03 tot 7.1.2. De onderzoeker zegt dat hij de kwetsbaarheid niet op andere apparaten heeft aangetroffen, maar sluit niet uit dat het mogelijk is MTPwn te gebruiken op andere smartphones. De impact van het lek is beperkt, omdat het fysieke toegang tot een smartphone vereist.

.

Samsung mtp

 

Reacties mogelijk gemaakt door CComment