На этой неделе компания Samsung выпустила обновление безопасности своей оболочки поверх Android. Среди прочего была закрыта многолетняя уязвимость формата изображений Qmage (.qmg). Поддержка этого формата появилась в смартфонах южнокорейского производителя в 2014 году.

Использующий уязвимость эксплоит был обнаружен специалистом по безопасности Матеусом Юрчиком из команды Google Project Zero. Источник проблемы находится в библиотеке Android под названием Skia. Она занимается загрузкой и отображением различных форматов изображений, включая Qmage. Из-за уязвимости можно отправить сообщение MMS на устройство Samsung, которое открывается в приложение Samsung Messages. Сначала сообщение пытается найти местонахождение библиотеки Skia, затем доставляет файл Qmage. Через этот файл злоумышленник может выполнять на устройстве код без взаимодействия с пользователем.

На эту процедуру уходит около 100 минут, в зависимости от силы сигнала, количества имеющихся на устройстве сообщений, наличия или отсутствия Wi-Fi. После успешного проведения атаки даётся полный доступ к приложению Messages, логу звонков, списку контактов, микрофону, хранилищу, сообщениям и т.д. Это открытие было сделано в феврале, на исправление у Samsung ушло 3 месяца.

Эксплоит не действует на смартфоны других производителей, поскольку они не поддерживают формат изображений Qmage. Это собственная разработка Samsung.