Vulnerabilitatea „SMS of Death” de tip zero-click le permite hackerilor să perturbe funcționarea telefoanelor Android cu un singur mesaj text

Adaugă-ne ca sursă preferată în Google

Urmărește-ne in Discover

Un cercetător în domeniul securității a publicat detalii despre o vulnerabilitate de tip zero-click a sistemului Android, denumită „SMS of Death”. Un singur mesaj text cu format incorect poate bloca serviciul de telefonie pe un dispozitiv Android, poate întrerupe apelurile active și, în cel mai rău caz, poate lăsa telefonul fără funcționalitate de telefonie după fiecare repornire, potrivit Cyberinsider.

Cercetătorul independent Mark Blaszczyk a publicat descoperirile pe 29 octombrie, la aproape șase luni după ce a raportat problema către Google. Din informațiile sale reiese că Google a clasificat-o în cele din urmă ca pe o problemă care nu ține de securitate și a refuzat să o remedieze inițial.

Ulterior Google a lansat în cele din urmă o remediere pentru această vulnerabilitate, identificată sub codul CVE-2026-58882, în actualizările Android din octombrie. GrapheneOS a declarat, de asemenea, că intenționează să lanseze remedierea în viitorul buletin de securitate din noiembrie, dar un patch a fost distribuit către AOSP încă din octombrie.

Blaszczyk raportează reproducerea cu succes a vulnerabilității pe un Pixel 9 care rulează firmware-ul din aprilie 2026 și pe mai multe dispozitive Samsung Galaxy. Raportul nu prezintă o listă completă a versiunilor Android, a telefoanelor sau a rețelelor de operatori afectate.

Problema se află în cadrul de telefonie al Android, care procesează mesajele mobile primite separat de aplicația de mesagerie cu care interacționează utilizatorii. Componenta sa WapPushOverSms gestionează mesajele WAP Push, o formă de SMS de date.

Vulnerabilitatea apare atunci când fișierul WapPushOverSms.java citește lungimea declarată a antetului unui mesaj și o convertește dintr-un întreg lung într-un întreg semnat pe 32 de biți, fără a verifica intervalul acestuia.

O valoare special creată devine negativă în timpul acestei conversii. Android încearcă apoi să aloce un tablou de octeți folosind lungimea negativă, declanșând o excepție NegativeArraySizeException care, conform raportului, oprește procesul com.android.phone.

Deoarece încărcătura ajunge sub forma unui SMS de date, Blaszczyk afirmă că aceasta nu generează nicio intrare în căsuța de primire sau notificare și nu dezvăluie numărul expeditorului destinatarului. Nu este necesară deschiderea unui link, instalarea unei aplicații sau orice altă interacțiune din partea victimei.

În cadrul testelor sale, fiecare blocare a întrerupt serviciul de telefonie timp de una până la două secunde, în timp ce procesul se repornea, întrerupând apelurile vocale active. El mai raportează că încercările repetate ale operatorului de a retrimite mesajele neconfirmate au provocat întreruperi intermitente timp de până la o săptămână după primirea unui singur mesaj rău intenționat.

Se pare că livrarea rapidă a aproximativ 20–30 de mesaje a provocat defecțiuni mai de durată. Blaszczyk atribuie aceste defecțiuni unei condiții care corupe baza de date SQLite utilizată pentru stocarea SMS-urilor, determinând blocarea procesului de telefonie de fiecare dată când telefonul pornește.

Această explicație rămâne o evaluare a cercetătorului. Raportul descrie o pierdere persistentă a serviciului de telefonie, fără a demonstra existența unor daune ireversibile la nivel de hardware.

Blaszczyk a propus validarea lungimii antetului înainte de conversie și a publicat o aplicație de validare a conceptului (proof-of-concept) și codul sursă pe GitHub. Până în prezent, nu există un identificator CVE pentru această vulnerabilitate.

O resetare la setările din fabrică funcționează doar pentru o perioadă scurtă de timp, deoarece operatorul trimite din nou încărcătura blocată. Soluția cercetătorului a constat în mutarea cartelei SIM fizice într-un telefon care nu rulează Android, cum ar fi un iPhone, astfel încât încercările repetate ale operatorului să fie confirmate. Apoi, înregistrările corupte au trebuit șterse prin ADB. O cartelă eSIM ar face recuperarea mult mai dificilă, iar majoritatea utilizatorilor nu ar putea să o realizeze.

Atacurile de tip „zero-click” asupra telefoanelor nu sunt o noutate. În 2023, Citizen Lab a descoperit BLASTPASS, un lanț de atacuri de tip „zero-click” pentru iPhone, utilizat pentru a instala programul spion Pegasus.