Check Point ha identificado una vulnerabilidad en los decodificadores MediaTek (CVE-2021-0674, CVE-2021-0675) y Qualcomm (CVE-2021-30351) para el formato de compresión de audio Apple Lossless Audio Codec (ALAC). El problema permite que se ejecute código de atacante mientras se procesan datos formateados especialmente en formato ALAC.
El peligro de la vulnerabilidad se ve agravado por el hecho de que afecta a dispositivos Android equipados con chips MediaTek y Qualcomm. Como resultado del ataque, un atacante puede organizar la ejecución de malware en un dispositivo que tiene acceso a los datos multimedia y de comunicación del usuario, incluidos los datos de la cámara. Según una estimación aproximada, el problema afecta a 2/3 de todos los usuarios de teléfonos inteligentes basados en la plataforma Android. Por ejemplo, en EE. UU., la proporción total de todos los teléfonos inteligentes Android vendidos en el cuarto trimestre de 4 con chips MediaTek y Qualcomm fue del 2021% (95.1% - MediaTek, 48.1% - Qualcomm).
Los detalles de la explotación de la vulnerabilidad aún no se han revelado, pero se informa que se realizaron correcciones en los componentes de MediaTek y Qualcomm para la plataforma Android en diciembre de 2021. En el informe de diciembre sobre vulnerabilidades en la plataforma Android, los problemas se señalan como vulnerabilidades críticas en componentes cerrados para chips Qualcomm. La vulnerabilidad en los componentes de MediaTek no se menciona en los informes.
La vulnerabilidad es interesante por sus raíces. En 2011, Apple abrió bajo la licencia Apache 2.0 el código fuente del códec ALAC, que permite comprimir datos de audio sin pérdida de calidad, y permitió utilizar todas las patentes relacionadas con el códec. El código se publicó pero no se mantuvo y no ha cambiado en los últimos 11 años. Al mismo tiempo, Apple continuó brindando soporte por separado a la implementación utilizada en sus plataformas, incluida la corrección de errores y vulnerabilidades en la misma. MediaTek y Qualcomm basaron sus implementaciones de códecs ALAC en el código fuente abierto original de Apple, pero no abordaron las vulnerabilidades abordadas por la implementación de Apple en sus implementaciones.
Aún no hay información sobre la manifestación de una vulnerabilidad en el código de otros productos que también utilizan el código ALAC obsoleto. Por ejemplo, el formato ALAC ha sido compatible desde FFmpeg 1.1, pero el código de implementación del decodificador se mantiene activamente.
Fuente: opennet.ru