Check Point ha identificat una vulnerabilitat als descodificadors de format de compressió d'àudio ALAC (Apple Lossless Audio Codec) oferts per MediaTek (CVE-2021-0674, CVE-2021-0675) i Qualcomm (CVE-2021-30351). El problema permet executar codi d'atacant quan es processen dades amb un format especial en format ALAC.
El perill de la vulnerabilitat s'agreuja pel fet que afecta els dispositius que executen la plataforma Android equipats amb xips MediaTek i Qualcomm. Com a resultat de l'atac, un atacant pot organitzar l'execució de programari maliciós en un dispositiu que tingui accés a les comunicacions dels usuaris i a les dades multimèdia, incloses les dades de la càmera. S'estima que 2/3 de tots els usuaris de telèfons intel·ligents basats en la plataforma Android es veuen afectats pel problema. Per exemple, als EUA, la quota total de tots els telèfons intel·ligents Android venuts durant el quart trimestre del 4 que es van enviar amb xips MediaTek i Qualcomm va ser del 2021% (95.1% - MediaTek, 48.1% - Qualcomm).
Encara no s'han revelat els detalls de l'explotació de la vulnerabilitat, però s'informa que els components MediaTek i Qualcomm per a la plataforma Android es van pegar el desembre de 2021. Un informe de desembre sobre vulnerabilitats a la plataforma Android va identificar els problemes com a vulnerabilitats crítiques en components propietaris dels xips Qualcomm. La vulnerabilitat dels components de MediaTek no s'esmenta als informes.
La vulnerabilitat és interessant per les seves arrels. L'any 2011, Apple va obrir el codi font del còdec ALAC, que permet la compressió de dades d'àudio sense pèrdua de qualitat, sota la llicència Apache 2.0, i va permetre utilitzar totes les patents relacionades amb el còdec. El codi es va publicar però no es va mantenir i no s'ha modificat durant els últims 11 anys. Al mateix temps, Apple va continuar donant suport per separat a la implementació utilitzada a les seves plataformes, incloent-hi l'eliminació d'errors i vulnerabilitats. MediaTek i Qualcomm van basar les seves implementacions de còdec ALAC en el codi font obert original d'Apple, però no van incloure vulnerabilitats abordades en la implementació d'Apple als seus pedaços.
Encara no hi ha informació sobre la vulnerabilitat en el codi d'altres productes que també utilitzen el codi ALAC obsolet. Per exemple, el format ALAC és compatible des de FFmpeg 1.1, però el codi amb la implementació del descodificador es manté activament.
Font: opennet.ru