Cyberthreat.id – Samsung, ponsel Android asal Korea Selatan, didera kerentanan zero-click yang jika dieksploitasi, peretas (hacker) dapat mengakses ke semua izin dan hak istimewa, seperti Samsung Messenger tanpa izin pengguna.

Kabar baiknya, problem tersebut tidak terjadi pada semua tipe ponsel Samsung, tapi ponsel yang menjalankan Android versi 4.4.4 atau yang lebih baru.

Serangan yang berhasil juga bukanlah hal yang mudah dan cepat. Peneliti Google Project Zero, Mateusz Jurczyk, yang menemukan kerentanan itu, memperkirakan, butu minimal sekitar 50 hingga 300 serangan MMS agar kerentanan dapat dieksploitasi.

Samsung versi tersebut pertama kali dikenalkan pada akhir 2014, tapi pengembang masih aktif memperbarui terakhir pada 10 Januari 2020.

Masalah itu baru muncul pada 28 Januari ketika ditemukan oleh Jurczyk, tulis SC Magazine yang diakses Senin (11 Mei 2020).

Kerentanan kritis itu terdaftar sebagai SVE-2020-16747 menyangkut kerusakan pada memori “Qmage image codec” yang dibangun dalam Skia, sebuah “2D library” sumber terbuka yang berfungsi sebagai mesin grafis di Google Chrome dan OS Chrome, Android, Mozilla Firefox dan Firefox OS, menurut Skia.org.

Namun, perbaikan itu cukup lama. “Samsung mengeluarkan tambalan (patched) pada bulan Mei,” tulis SC Magazine.

Andaikata perangkat tidak diperbarui, seorang penyerang bisa mengeksekusi eksekusi kode arbitrer dari jarak jauh. Serangan yang berhasil akan memberikan aktor ancaman hak yang sama dengan pemilik dan dengan demikian akses ke informasi pengguna pribadi: log panggilan, kontak, mikrofon, penyimpanan dan SMS.

Jurczyk melaporkan di situs web Google Project Zero bahwa Skia digunakan untuk menangani grafik, mendukung semua format utama, untuk banyak aplikasi seluler, termasuk sumber yang tidak tepercaya seperti MMS, aplikasi obrolan, dan email.

"Misalnya, dalam pengujian saya, aplikasi Samsung Messages secara default memproses konten pesan MMS yang masuk tanpa interaksi pengguna, dan saya kira ada vektor serangan serupa lainnya," tulis Jurczyk.[]

Redaktur: Andi Nugroho