Android „SMS of Death”: zdalny atak SMS może wywołać awarię niezałatanych smartfonów

Wprowadzenie do problemu / definicja

Nowo ujawniona podatność określana jako „SMS of Death” dotyczy mechanizmu obsługi wiadomości WAP Push w systemie Android. Błąd umożliwia zdalne wywołanie awarii procesu odpowiedzialnego za funkcje telefoniczne urządzenia, co oznacza atak typu zero-click denial of service, niewymagający jakiejkolwiek interakcji ze strony użytkownika.

W praktyce ofiara nie musi otwierać wiadomości ani wykonywać żadnej akcji. Wystarczy dostarczenie specjalnie spreparowanej wiadomości data SMS na odpowiedni port systemowy, aby doprowadzić do zakłócenia działania telefonu.

W skrócie

Podatność pozwala zdalnie wywołać awarię procesu com.android.phone.
Atak wykorzystuje specjalnie przygotowaną wiadomość SMS typu data SMS kierowaną do mechanizmu WAP Push.
Skutkiem może być utrata łączności komórkowej, przerwanie połączeń oraz niestabilność urządzenia.
Problem nabrał znaczenia po publikacji działającego proof-of-concept.
Poprawki mają objąć wspierane wersje Androida 14–17, natomiast część urządzeń z Androidem 12 i 13 może nadal pozostawać narażona.

Kontekst / historia

Sprawa zyskała rozgłos po opublikowaniu analizy technicznej oraz kodu demonstracyjnego, który pokazał praktyczne wykorzystanie błędu. To istotne, ponieważ podatność nie dotyczy pojedynczej aplikacji, lecz warstwy telefonicznej Androida, a więc komponentu bezpośrednio odpowiedzialnego za podstawowe funkcje komunikacyjne urządzenia.

Atak odbywa się na etapie przetwarzania wiadomości przez system, jeszcze zanim użytkownik zobaczy ją w standardowej skrzynce SMS. Taki scenariusz znacząco utrudnia wykrycie przyczyny problemu i ogranicza możliwość szybkiej reakcji po stronie użytkownika końcowego.

Dodatkowym czynnikiem ryzyka jest publiczna dostępność proof-of-concept. W praktyce obniża to próg wejścia dla potencjalnych atakujących i zwiększa prawdopodobieństwo pojawienia się prób nadużyć, zwłaszcza wobec urządzeń, które nie otrzymały jeszcze odpowiednich łatek.

Analiza techniczna

Źródłem problemu jest nieprawidłowa walidacja długości nagłówka w funkcji WapPushOverSms.decodeWapPdu. Błąd wynika z niewłaściwej obsługi wartości długości w strukturze wiadomości WAP Push, co w określonych warunkach prowadzi do niepoprawnej konwersji wartości na liczbę całkowitą ze znakiem.

W konsekwencji system podejmuje próbę alokacji tablicy o nieprawidłowym, ujemnym rozmiarze. Efektem jest wyjątek NegativeArraySizeException, który powoduje awarię procesu com.android.phone. Ponieważ proces ten odpowiada za telefonię komórkową, skutki błędu są znacznie poważniejsze niż zwykły crash aplikacji.

Praktyczne konsekwencje obejmują utratę usług głosowych i transmisji danych komórkowych, rozłączanie aktywnych połączeń, a w bardziej dotkliwych scenariuszach również powtarzające się crashe lub pętle restartów. W skrajnych przypadkach przywrócenie sprawności urządzenia może wymagać użycia narzędzi serwisowych, takich jak ADB, a nawet przywrócenia ustawień fabrycznych.

Z perspektywy operacyjnej szczególnie niebezpieczny jest brak widocznych oznak ataku. Użytkownik może zauważyć jedynie nagłą utratę zasięgu, restart warstwy telefonicznej albo niestabilność całego urządzenia, bez jednoznacznej informacji o źródle problemu.

Konsekwencje / ryzyko

Najważniejszą konsekwencją podatności jest możliwość przeprowadzenia zdalnego ataku DoS na smartfon wyłącznie na podstawie numeru telefonu ofiary. To oznacza realne ryzyko czasowego wyłączenia lub destabilizacji urządzenia bez potrzeby angażowania użytkownika.

W środowiskach firmowych problem może przełożyć się na niedostępność służbowych kanałów komunikacji, utratę łączności pracowników terenowych oraz zakłócenia procesów opartych na telefonii komórkowej. Szczególnie narażone są organizacje, które wykorzystują urządzenia mobilne jako podstawowe narzędzie operacyjne.

Znaczący jest również aspekt bezpieczeństwa fizycznego i ciągłości działania. Jeśli podatność może prowadzić do rozłączania aktywnych rozmów, w tym potencjalnie połączeń alarmowych, incydent wykracza poza klasyczny model cyberzagrożenia i może wpływać bezpośrednio na bezpieczeństwo użytkowników końcowych.

Rekomendacje

Priorytetem powinno być niezwłoczne wdrożenie najnowszych poprawek bezpieczeństwa Androida na wszystkich wspieranych urządzeniach. Organizacje muszą jednak pamiętać, że publikacja poprawki w ekosystemie Android nie oznacza automatycznie jej dostępności na każdym modelu i u każdego operatora.

przeprowadzić inwentaryzację urządzeń z Androidem 12, 13, 14, 15, 16 i 17,
zweryfikować poziom poprawek bezpieczeństwa dla każdego modelu,
wymusić aktualizacje poprzez MDM lub UEM tam, gdzie to możliwe,
przetestować procedury odzyskiwania urządzeń po awarii warstwy telefonicznej,
przygotować instrukcje dla helpdesku dotyczące użycia ADB i trybu recovery,
monitorować komunikaty producentów OEM oraz operatorów w sprawie dostępności łatek.

W organizacjach o podwyższonych wymaganiach bezpieczeństwa warto rozważyć środki kompensacyjne. Mogą one obejmować zapewnienie alternatywnych kanałów komunikacji, segmentację użytkowników według krytyczności oraz ograniczenie wykorzystania niewspieranych urządzeń w rolach kluczowych.

Podsumowanie

„SMS of Death” pokazuje, że starsze i głęboko osadzone mechanizmy telekomunikacyjne nadal mogą stanowić istotne źródło ryzyka w nowoczesnych systemach mobilnych. Chociaż podatność nie prowadzi do przejęcia urządzenia, umożliwia skuteczny i trudny do wykrycia atak na dostępność usług telefonicznych.

Z punktu widzenia obrony najważniejsze są szybkie aktualizacje, weryfikacja rzeczywistego stanu poprawek na urządzeniach końcowych oraz gotowość operacyjna do obsługi incydentów wpływających na telefonię komórkową.