Forskere fra Google Project Zero har detaljeret analyseret teknikken til at skabe et fungerende exploit, der muliggør fjernudførelse af brugerens kode med rettigheder til Linux-kernen ved at sende SMS- eller RCS-beskeder med specielt udformede lydvedhæftninger. Angrebet udføres uden brugerens handlinger, herunder kræver det ikke, at modtageren ser eller afspiller den modtagne besked.
Eksploit er afhængig af to sårbarheder: i Dolby Unified Decoder-biblioteket (CVE-2025-54957) og bigwave-driveren til Linux-kernen (CVE-2025-36934). Tidligere krævede udnyttelse af sårbarheder i codecs, at brugeren afspillede eller så det modtagne skadelige indhold. Efter integrationen af AI-assistenter i de seneste versioner af Android-firmware, dekodes det multimediemateriale automatisk efter modtagelsen, hvilket betydeligt øger angrebsfladen, der ikke kræver brugerhandling (0-click). I konteksten af lyd-SMS og RCS-beskeder danner Google Messages ved hjælp af tjenesten com.google.android.tts automatisk en transkription, som anvendes til tekstsøgning af lydbeskeder, hvilket muliggør udnyttelse af sårbarheder i de eksisterende lydcodecs uden brugerens deltagelse.
Problemet i Dolby Unified Decoder skyldes et heltals-overløb ved beregning af størrelsen på bufferen til de behandlede datastrukturer syncframe, hvilket kan bruges til at skrive uden for den tildelte buffer. Som et resultat af overløbet kan en pointer, der bruges til at behandle den næste synkroniserende frame, blive overskrevet, hvilket igen gør det muligt at overskrive pointeren til funktionen med kontrollerede angrebsmaterialer og organisere udførelsen af sin egen kode med 'mediacodec'-rettigheder, begrænsede gennem SELinux.
For at udnytte Linux-kernen blev en sårbarhed i bigwave-driveren, der håndterer interaktionen med det symbolske enhed /dev/bigwave, inddraget, til hvilken der blev åbnet adgang fra SELinux-kontexten 'mediacodec'. Sårbarheden gjorde det muligt at overskrive kerne-strukturer ved at manipulere med ioctl-opkaldet BIGO_IOCX_PROCESS og opnå udførelse af kode med kernens rettigheder.
Sårbarheden i Dolby Unified Decoder-biblioteket (libcodec2_soft_ddpdec.so), der tilbyder funktioner til dekodning af Dolby Digital (DD, AC-3) og Dolby Digital Plus (DD+, EAC-3) formater, er ikke specifik for Android og firmware til Pixel 9, men forekommer også på andre platforme (Samsung S24, MacBook Air M1, iPhone 17 Pro, Windows, ChromeOS osv.). I Android-arkivet AOSP og firmware til Samsung S24 anvendes en seccomp-filtrering af systemopkald for processer, der kører i konteksten af mediacodec, hvilket vanskeliggør udnyttelse af sårbarheder i kernen. I firmware til Pixel 9 var en lignende filtrering ikke tilgængelig. Fra angreb kunne beskyttes af Memory Tagging (MTE) mekanismen, men den er kun tilgængelig for Pixel 8+ enheder i form af en valgmulighed, der aktiveres ved aktivering af "Advanced Protection"-tilstand. I macOS og iOS vanskeliggør det at udnytte sårbarhederne opbygningen af biblioteket med flaget "-fbounds-safety", som tilføjer ekstra grænsekontroller, som reducerer ydeevnen.
Forskere undersøger særskilt problemet med at få rettelsen af sårbarheden i Dolby Unified Decoder til brugerne. Oplysninger om sårbarheden blev offentliggjort 82 dage før rettelsen nåede brugerne af Pixel-enheder. Dolby blev informeret om problemet den 26. juni 2025. Den første binære rettelse blev udgivet den 18. september til ChromeOS, men til Android-enheder udgav Dolby binære patches først den 8. oktober. Den 15. oktober blev oplysningerne om sårbarheden offentliggjort. Samsung udgav en rettelse den 12. november, og først den 5. januar blev en rettelse offentliggjort for Pixel-enheder. Distributionen af patchen til alle Android-enheder tog 139 dage.
I Dolby Unified Decoder blev der opdaget en sårbarhed på mindre end to dage, og i BigWave-driversystemet på mindre end en dag. Udviklingstiden for at skabe en fungerende udnyttelse af sårbarheden i Dolby Unified Decoder er vurderet til 8 uger for én forsker, mens det for BigWave er 3 uger. I rapporten offentliggjort den 14. oktober markerede Dolby sårbarheden i Dolby Unified Decoder som at have et lavt fare niveau, på trods af at detaljerne om en kommende udnyttelse blev givet. Sårbarhederne i BigWave blev tildelt et moderat fare niveau i Android, da det bliver begrundet med, at angrebet kun er muligt fra privilegeret indhold og ikke er tilgængeligt for ikke-privilegerede sammenhænge (efter tre måneder blev status for sårbarheden ændret til 'farlig problem').
Kilde: opennet.ru
