Check Point on tunnistanut haavoittuvuuden MediaTekin (CVE-2021-0674, CVE-2021-0675) ja Qualcommin (CVE-2021-30351) tarjoamissa ALAC- (Apple Lossless Audio Codec) -äänenpakkausmuotodekoodereissa. Ongelma mahdollistaa hyökkääjäkoodin suorittamisen, kun käsitellään erityisesti muotoiltuja tietoja ALAC-muodossa.
Haavoittuvuuden vaaraa lisää se, että se vaikuttaa MediaTek- ja Qualcomm-siruilla varustettuihin Android-alustaa käyttäviin laitteisiin. Hyökkäyksen seurauksena hyökkääjä voi järjestää haittaohjelmien suorittamisen laitteella, jolla on pääsy käyttäjän viestintään ja multimediatietoihin, mukaan lukien kameran tiedot. On arvioitu, että 2/3 kaikista Android-alustaan perustuvista älypuhelimien käyttäjistä vaikuttaa ongelmaan. Esimerkiksi Yhdysvalloissa vuoden 4 neljännellä neljänneksellä myytyjen MediaTek- ja Qualcomm-sirujen kanssa toimitettujen Android-älypuhelimien kokonaisosuus oli 2021 % (95.1 % - MediaTek, 48.1 % - Qualcomm).
Haavoittuvuuden hyödyntämisen yksityiskohtia ei ole vielä julkistettu, mutta kerrotaan, että MediaTek- ja Qualcomm-komponentit Android-alustalle korjattiin joulukuussa 2021. Joulukuun raportissa Android-alustan haavoittuvuuksista tunnistettiin ongelmat Qualcomm-sirujen patentoitujen komponenttien kriittisiksi haavoittuvuuksiksi. MediaTekin komponenttien haavoittuvuutta ei mainita raporteissa.
Haavoittuvuus on mielenkiintoinen juurien vuoksi. Apple avasi vuonna 2011 Apache 2.0 -lisenssillä ALAC-koodekin lähdekoodin, joka mahdollistaa äänidatan pakkaamisen laadun heikkenemättä, ja mahdollisti kaikkien koodekkiin liittyvien patenttien käytön. Koodi julkaistiin, mutta sitä ei ole ylläpidetty, eikä sitä ole muutettu viimeisten 11 vuoden aikana. Samaan aikaan Apple jatkoi erillisellä alustallaan käytetyn toteutuksen tukemista, mukaan lukien sen virheiden ja haavoittuvuuksien poistamista. MediaTek ja Qualcomm perustivat ALAC-koodekkitoteutuksensa Applen alkuperäiseen avoimeen lähdekoodiin, mutta eivät sisällyttäneet korjauksiinsa Applen toteutuksessa käsiteltyjä haavoittuvuuksia.
Muiden myös vanhentunutta ALAC-koodia käyttävien tuotteiden koodin haavoittuvuudesta ei ole vielä tietoa. Esimerkiksi ALAC-muotoa on tuettu FFmpeg 1.1:stä lähtien, mutta koodia dekooderin toteutuksella ylläpidetään aktiivisesti.
Lähde: opennet.ru