Android tizimida smartfonni koʻrinmas SMS orqali ishdan chiqaruvchi zaiflik aniqlandi

Kod.ru xabariga koʻra, hujum uchun tizim avtomatik ravishda tahlil qiladigan xizmat koʻrsatuvchi WAP Push SMS ishlatiladi. Qurilma egasi uni koʻrmaydi: xabar SMS ilovasiga tushmaydi, bildirishnoma kelmaydi, joʻnatuvchining raqami aks etmaydi. Bunday xabarga ishlov berish chogʻida, jumladan telefon aloqasi uchun javob beruvchi tizim jarayoni ishdan chiqadi va davom etayotgan qoʻngʻiroq, shu jumladan favqulodda xizmatlar chaqiruvi uzilib qoladi. BleepingComputerʼga tayanib 3DNews bergan maʼlumotlarga koʻra, zaiflikka CVE-2026-58882 identifikatori berilgan, nosozlikni esa WapPushOverSms.decodeWapPdu funksiyasida sarlavha uzunligining notoʻgʻri tekshirilishi keltirib chiqaradi, oqibatda com.android.phone jarayoni toʻxtaydi.

Nosozlikdan keyin jarayon qayta ishga tushadi, biroq tadqiqotchining soʻzlariga koʻra, shunday xabarlardan 20 taga yaqini nosozliklarni uzluksiz takrorlanadigan qilib qoʻyishi va qurilmani amalda ishdan chiqarishi mumkin (3DNews bayonida — hatto bitta xabar ham). Aloqa operatori ishlov berilmagan SMSʼni qayta yetkazib berishga urinishi mumkin, shu sababli nosozlik baʼzan qurilma qayta yoqilgandan yoki sozlamalari tiklangandan keyin ham saqlanib qoladi. 3DNews maʼlumotlariga koʻra, xotirada saqlanib qolgan xabarlarni Android Debug Bridge orqali qoʻlda oʻchirish mumkin, ammo bu faqat texnik jihatdan tayyor foydalanuvchilarning qoʻlidan keladi.

Tadqiqotchi muammoni Android tizimining 12–16 versiyalaridagi Google Pixel va Samsung Galaxy qurilmalarida qayta takrorladi hamda boshqa Android qurilmasidan bunday xabarlarni yuboradigan demonstratsion eksploitni eʼlon qildi. Google tuzatishni yozdayoq tayyorlab qoʻygan edi. Xavfsizlik yangilanishlari endi chiqarilmayotgan Android 12 va 13 tizimidagi smartfonlar zaif boʻlib qolishi mumkin.