Samsung ha corretto CVE-2025-21043, una vulnerabilità zero-day che permetteva esecuzione remota di codice su dispositivi Android attraverso una libreria codec di terze parti. La segnalazione è arrivata dai team di sicurezza di Meta e WhatsApp il 13 agosto 2025, non dal tradizionale vulnerability disclosure verso il vendor dei dispositivi. Questa catena di responsabilità disegna un ecosistema dove il confine tra chi scopre, chi patcha e chi protegge l'utente finale è sempre più sfuggente.
- CVE-2025-21043 è un out-of-bounds write nella libreria
libimagecodec.quram.soche permette RCE remoto su dispositivi Samsung Android con versioni precedenti a SMR Sep-2025 Release 1. - La vulnerabilità era attivamente sfruttata in attacchi zero-day prima della correzione.
- I team di sicurezza di Meta e WhatsApp hanno segnalato la falla il 13 agosto 2025, documentando un ruolo di threat intelligence cross-vendor insolito per questa tipologia di bug.
- WhatsApp ha inviato notifiche di minaccia a utenti potenzialmente bersagliati di campagna spyware negli ultimi 90 giorni, sebbene la fonte non stabilisca causalità diretta con CVE-2025-21043.
Un parser di immagini come porta di ingresso
Il nucleo tecnico risiede in libimagecodec.quram.so, libreria codec sviluppata da Quram e integrata da Samsung nei propri dispositivi. Si tratta di un componente di parsing multimediale che elabora file immagine: una superficie d'attacco storicamente fertile perché i parser devono gestire formati complessi, varianti non standard e input potenzialmente malformati.
La falla è classificata come out-of-bounds write. Un attaccante remoto può sfruttarla per corrompere la memoria del processo ed eseguire codice arbitrario. La natura esatta del vettore — se richieda apertura di un file da parte dell'utente o possa attivarsi senza interazione — non è specificata dalla fonte. Questa incertezza ha implicazioni operative concrete: dove l'interazione è richiesta, il profilo di rischio cambia significativamente rispetto a uno scenario zero-click.
"Samsung fixed the remote code execution flaw CVE-2025-21043 that was exploited in zero-day attacks against Android devices." — Security Affairs
Chi scopre e chi protegge: il ruolo di Meta e WhatsApp
Il 13 agosto 2025, i team di sicurezza di Meta e WhatsApp hanno inviato la segnalazione a Samsung. Questa dinamica è rara: tipicamente le vulnerabilità nei componenti del sistema operativo o delle librerie di terze parti vengono scoperte da ricercatori indipendenti, vendor di sicurezza o dal produttore stesso. Qui, un'azienda di social media e messaging ha identificato e documentato un bug in una libreria codec di un produttore di hardware concorrente.
A fine agosto 2025, WhatsApp ha inviato notifiche di minaccia a individui che ritiene bersagliati da una campagna spyware "avanzata" negli ultimi 90 giorni. La fonte affianca questa notizia alla descrizione di CVE-2025-21043 ma non stabilisce che la vulnerabilità Samsung sia il vettore specifico di quella campagna. Questa prossimità testuale, non essendo dichiarata come causalità, deve essere letta con cautela: è possibile che le due informazioni siano contestuali piuttosto che concatenate.
La patch e il problema della visibilità
Secondo la fonte primaria, la correzione è disponibile a partire da SMR Sep-2025 Release 1 (Security Maintenance Release). La pagina ufficiale Samsung per gli aggiornamenti di sicurezza, consultata come fonte di supporto, mostra nel testo estratto solo SMR del 2026: questo rende non verificabile dall'esterno, al momento, la distribuzione effettiva della patch a tutti i modelli interessati. Il dossier non specifica quali dispositivi ricevono l'aggiornamento né se alcuni modelli rimangano non coperti.
Questa opacità è ricorrente nel patch management Android. Samsung gestisce il proprio programma SMR indipendentemente dal ciclo di aggiornamenti mensili Google, ma la frammentazione dei modelli, delle varianti regionali e degli operatori telefonici introduce latenze e gap di copertura che la fonte non quantifica.
Perché è importante
Il dossier non specifica il numero di dispositivi potenzialmente esposti, la natura esatta dei payload osservati né il gruppo threat actor dietro gli attacchi zero-day. Non documenta inoltre se la campagna spyware avvertita da WhatsApp abbia effettivamente sfruttato CVE-2025-21043 o se le due notizie siano solo temporalmente sovrapposte.
La fonte non elenca misure correttive specifiche al di là dell'installazione del SMR Sep-2025 Release 1, né fornisce indicatori di compromesso per verificare se un dispositivo sia stato bersagliato. Non è chiaro se WhatsApp abbia rilasciato patch proprie o se la propria dichiarazione di aver "già patchato la falla sfruttata dagli attaccanti" si riferisca a un bug diverso nella propria applicazione.
Ciò che il dossier documenta inequivocabilmente è la struttura della supply chain: una libreria di terze parti (Quram), integrata da un vendor hardware (Samsung), scoperta da un attore del software consumer (Meta/WhatsApp) che gestisce la relazione diretta con l'utente finale attraverso notifiche di minaccia. Questa stratificazione rende il patching tradizionale insufficiente a garantire protezione: il punto di contatto con l'utente non è chi detiene il bug, ma chi ha visibilità sull'abuso.
Per il settore, il caso conferma che i parser multimediali restano una superficie d'attacco prioritaria per campagne spyware commerciali e APT. La complessità dei formati immagine, la presenza di librerie di terze parti spesso non sottoposte a audit estensivi, e l'integrazione profonda nel sistema operativo creano una catena di dipendenza dove la sicurezza di ciascun anello condiziona quella di tutti gli altri.
Le informazioni sono basate sull' advisory citata e aggiornate al momento della pubblicazione.
Fonti
- https://securityaffairs.com/182135/hacking/samsung-fixed-actively-exploited-zero-day.html
- https://security.samsungmobile.com/securityUpdate.smsb
- https://securityaffairs.com/
- https://securityaffairs.com/extended-cookie-policy
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.