Forscher des Google Project Zero-Teams haben ausführlich die Technik zur Erstellung eines funktionierenden Exploits untersucht, der es ermöglicht, entfernten Code mit Kernel-Rechten von Linux auszuführen, indem eine SMS- oder RCS-Nachricht mit einem speziell gestalteten Audioanhang gesendet wird. Der Angriff erfolgt ohne jegliche Interaktion des Nutzers, einschließlich der Tatsache, dass das Empfangen oder Abspielen der Nachricht nicht erforderlich ist.
In der Exploitierung sind zwei Schwachstellen involviert: in der Bibliothek Dolby Unified Decoder (CVE-2025-54957) und im Bigwave-Treiber für den Linux-Kernel (CVE-2025-36934). Früher war es notwendig, dass der Benutzer den erhaltenen schädlichen Inhalt abspielte, um die Schwachstellen in den Codecs auszunutzen. Mit der Integration von KI-Assistenten in den neuesten Android-Firmware-Versionen wird der erhaltene Multimedia-Inhalt automatisch nach dem Empfang dekodiert, was die Angriffsfläche erheblich vergrößert, da keine Aktionen vom Benutzer erforderlich sind (0-Klick). Im Kontext von Audio-SMS- und RCS-Nachrichten erstellt die Google Messages-App mithilfe des Dienstes com.google.android.tts automatisch Transkriptionen, die auf Audio-Nachrichten für die Textsuche angewendet werden, was es ermöglicht, Schwachstellen in bestehenden Audio-Codecs ohne Benutzerbeteiligung auszunutzen.
Das Problem beim Dolby Unified Decoder wird durch einen ganzzahligen Überlauf beim Berechnen der Puffergröße für die verarbeiteten Datenstrukturen syncframe verursacht, was ausgenutzt werden kann, um über den zugewiesenen Puffer hinaus zu schreiben. Durch den Überlauf kann ein Pointer überschrieben werden, der bei der Verarbeitung des nächsten synchronisierenden Frames verwendet wird. Diese Veränderung ermöglicht es wiederum, einen Funktionszeiger zu überschreiben, der von einem Angreifer kontrolliert wird, und seinen eigenen Code mit den durch SELinux eingeschränkten Rechten "mediacodec" auszuführen.
Für die Ausnutzung des Linux-Kernels wurde eine Schwachstelle im Treiber bigwave verwendet, der für die Interaktion mit dem Zeichengerät /dev/bigwave zuständig ist, auf das aus dem SELinux-Kontext "mediacodec" zugegriffen wurde. Die Schwachstelle ermöglichte das Überschreiben von Kernstrukturen durch Manipulation des ioctl-Aufrufs BIGO_IOCX_PROCESS und die Ausführung von Code mit Kernel-Rechten.
Eine Sicherheitsschwachstelle in der Bibliothek Dolby Unified Decoder (libcodec2_soft_ddpdec.so), die Funktionen zum Dekodieren von Dolby Digital (DD, AC-3) und Dolby Digital Plus (DD+, EAC-3) bereitstellt, ist nicht spezifisch für Android und die Firmware des Pixel 9. Sie tritt auch auf anderen Plattformen auf (Samsung S24, MacBook Air M1, iPhone 17 Pro, Windows, ChromeOS usw.). In dem Android-Repository AOSP und der Firmware des Samsung S24 wird ein Seccomp-Filter für Systemaufrufe auf Prozesse angewendet, die im Kontext von mediacodec ausgeführt werden, was die Ausnutzung von Schwachstellen im Kernel erschwert. In der Firmware für das Pixel 9 fehlte ein solcher Filter. Vor Angriffen könnte ein Mechanismus zum Speichern von Tags (MTE) schützen, der jedoch für Geräte der Reihe Pixel 8+ nur als Option verfügbar ist, die beim Aktivieren des „Advanced Protection“-Modus aktiviert werden muss. In macOS und iOS wird die Ausnutzung durch den Bau der Bibliothek mit der Flag "-fbounds-safety" erschwert, welches zusätzliche Überprüfungen auf Array-Grenzüberschreitungen einfügt, die die Leistung verringern.
Forscher untersuchen separat die Probleme bei der Bereitstellung eines Sicherheitspatches für die Schwachstelle im Dolby Unified Decoder. Informationen über die Schwachstelle wurden 82 Tage vor der Bereitstellung des Patches an die Benutzer der Pixel-Geräte öffentlich bekannt gegeben. Dolby wurde am 26. Juni 2025 über das Problem informiert. Das erste binäre Update wurde am 18. September für ChromeOS veröffentlicht, während Dolby für Android-Geräte die binären Patches erst am 8. Oktober bereitstellte. Am 15. Oktober wurden die Informationen über die Schwachstelle öffentlich gemacht. Am 12. November veröffentlichte Samsung den Patch, und erst am 5. Januar wurde das Update für Pixel-Geräte bereitgestellt. Die Verteilung des Patches auf alle Android-Geräte dauerte 139 Tage.
Im Dolby Unified Decoder wurde eine Schwachstelle innerhalb von weniger als zwei Tagen und im BigWave-Treiber innerhalb von weniger als einem Tag festgestellt. Die Entwicklung eines funktionierenden Exploits für die Schwachstelle im Dolby Unified Decoder wird auf 8 Wochen geschätzt, wenn ein Forscher daran arbeitet, während es für BigWave 3 Wochen benötigt. Im am 14. Oktober veröffentlichten Bericht von Dolby wurde die Schwachstelle im Dolby Unified Decoder als geringfügig gefährlich eingestuft, obwohl die Details des entwickelten Exploits übermittelt wurden. Den Schwachstellen in BigWave wurde im Android-System ein mittleres Gefahrenlevel (Moderate) zugeordnet, mit der Begründung, dass ein Angriff nur von privilegierten Inhalten aus möglich ist und für nicht privilegierte Kontexte nicht zugänglich ist (drei Monate später wurde der Status der Schwachstelle auf „ernstes Problem“ geändert).
Quelle: opennet.ru
