Theo Tim Willis, trưởng nhóm Project Zero cho biết, các lỗ hổng xuất hiện trong modem Exynos của Samsung Semiconductor và được phát hiện từ cuối năm 2022 đến đầu năm 2023. Trong đó, 4 lỗ hổng có thể khiến người dùng gặp những rủi ro nghiêm trọng vì chúng cho phép tin tặc thực thi mã từ xa (RCE) ở cấp độ băng tần cơ sở mà không cần sự tương tác nào của người dùng, tất cả những gì tin tặc cần làm là chỉ cần biết được số điện thoại mục tiêu. Các lỗi RCE này bao gồm CVE-2023-24033 và 3 lỗi khác chưa được gắn nhãn CVE-ID.
Google cho biết, các lỗ hổng zero-day này ảnh hưởng đến nhiều điện thoại thông minh Android của Samsung, Vivo, Google, đồng thời đưa ra danh sách những thiết bị nằm trong diện bị ảnh hưởng gồm các dòng điện thoại như Galaxy S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 và A04. Ngoài ra, còn có các sản phẩm mới như Google Pixel 6, Pixel 7 và các điện thoại của Vivo bao gồm S16, S15, S6, X70, X60, X30. Không chỉ các dòng điện thoại, các lỗ hổng này có ảnh hưởng đến các thiết bị đeo tay sử dụng chip Exynos W92 và các loại xe tích hợp chip Exynos Auto T5123.
14 lỗ hổng còn lại (bao gồm CVE-2023-24072, CVE-2023-24073, CVE-2023-24074, CVE-2023-24075, CVE-2023-24076 và 9 lỗ hổng khác chưa được gán nhãn) được cho là ít nghiêm trọng hơn, vì để khai thác chúng cần nhà điều hành mạng di động độc hại hoặc tin tặc có quyền truy cập cục bộ vào thiết bị.
Mặc dù Samsung đã cung cấp các bản cập nhật bảo mật giải quyết các lỗ hổng này trong các chipset bị ảnh hưởng cho các nhà cung cấp khác, nhưng các bản vá không được công khai và không thể áp dụng cho tất cả người dùng bị ảnh hưởng.
Thời gian vá lỗi sẽ tùy thuộc vào từng nhà sản xuất. Với các thiết bị Pixel bị ảnh hưởng bao gồm Pixel 6 và Pixel 7, Google đã công bố bản cập nhật vào tháng 3/2023 để khắc phục. Các chuyên gia khuyến nghị người dùng có thể tự bảo vệ bằng cách tắt tính năng gọi qua Wifi và Voice-over-LTE (VoLTE) trong cài đặt thiết bị để giảm thiểu tác động của các lỗ hổng này.
