Check Point je identifikovao ranjivost u dekoderima formata kompresije zvuka ALAC (Apple Lossless Audio Codec) koje nude MediaTek (CVE-2021-0674, CVE-2021-0675) i Qualcomm (CVE-2021-30351). Problem omogućava izvršavanje koda napadača prilikom obrade posebno formatiranih podataka u ALAC formatu.
Opasnost od ranjivosti se pogoršava činjenicom da utiče na uređaje koji koriste Android platformu opremljene MediaTek i Qualcomm čipovima. Kao rezultat napada, napadač može organizirati izvršenje zlonamjernog softvera na uređaju koji ima pristup komunikaciji korisnika i multimedijskim podacima, uključujući podatke s kamere. Procjenjuje se da je 2/3 svih korisnika pametnih telefona baziranih na Android platformi pogođeno problemom. Na primjer, u SAD-u je ukupan udio svih Android pametnih telefona prodanih u 4. kvartalu 2021. koji su isporučeni s MediaTek i Qualcomm čipovima iznosio 95.1% (48.1% - MediaTek, 47% - Qualcomm).
Detalji o iskorištavanju ranjivosti još nisu objavljeni, ali se navodi da su komponente MediaTek i Qualcomm za Android platformu zakrpljene u decembru 2021. Decembarski izvještaj o ranjivostima na Android platformi identificirao je probleme kao kritične ranjivosti u vlasničkim komponentama za Qualcomm čipove. Ranjivost u MediaTek komponentama se ne pominje u izvještajima.
Ranjivost je zanimljiva zbog svojih korijena. Apple je 2011. godine pod licencom Apache 2.0 otvorio izvorni kod ALAC kodeka koji omogućava kompresiju audio podataka bez gubitka kvaliteta i omogućio korištenje svih patenata vezanih za kodek. Kod je objavljen, ali je ostao neodržavan i nije mijenjan zadnjih 11 godina. Istovremeno, Apple je nastavio da zasebno podržava implementaciju koja se koristi na njegovim platformama, uključujući eliminisanje grešaka i ranjivosti u njoj. MediaTek i Qualcomm su svoje implementacije ALAC kodeka zasnovali na Appleovom originalnom open source kodu, ali nisu uključili ranjivosti na koje se Appleova implementacija obratila u svoje zakrpe.
Još nema informacija o ranjivosti u kodu drugih proizvoda koji također koriste zastarjeli ALAC kod. Na primjer, ALAC format je podržan od FFmpeg 1.1, ali se kod s implementacijom dekodera aktivno održava.
izvor: opennet.ru