Check Point hat in kwetsberens identifisearre yn MediaTek (CVE-2021-0674, CVE-2021-0675) en Qualcomm (CVE-2021-30351) decoders foar it Apple Lossless Audio Codec (ALAC) audiokompresjeformaat. It probleem lit oanfallerskoade útfiere by it ferwurkjen fan spesjaal opmakke gegevens yn it ALAC-formaat.
Опасность уязвимости усугубляется тем, что она затрагивает устройства под управлением платформы Android, оснащённые чипами MediaTek и Qualcomm. В результате атаки злоумышленник может организовать выполнение вредоносного ПО на устройстве, имеющего доступ к общению пользователя и мультимедийным данным, включая данные с камеры. По приблизительно оценке проблеме подвержены 2/3 всех пользователей смартфонов на базе платформы Android. Например, в США общая доля всех проданных в 4 квартале 2021 года Android-смартфонов, поставляемых с чипами MediaTek and Qualcomm, составила 95.1% (48.1% — MediaTek, 47% — Qualcomm).
Детали эксплуатации уязвимости пока не раскрываются, но сообщается, что в компоненты MediaTek и Qualcomm для платформы Android исправления были внесены в декабре 2021 года. В декабрьском отчёте об уязвимостях в платформе Android проблемы отмечены как критические уязвимости в закрытых компонентах для чипов Qualcomm. Уязвимость в компонентах MediaTek в отчётах не упоминается.
Kwetsberens is nijsgjirrich foar syn woartels. Yn 2011 iepene Apple ûnder de Apache 2.0-lisinsje de boarnekoade foar de ALAC-codec, wêrtroch jo audiogegevens kinne komprimearje sûnder kwaliteitsferlies, en makke it mooglik om alle patinten te brûken dy't relatearre binne oan 'e codec. De koade waard publisearre, mar bleau net ûnderhâlden en is net feroare yn 'e lêste 11 jier. Tagelyk bleau Apple de ymplemintaasje dy't brûkt waard yn har platfoarms apart te stypjen, ynklusyf it reparearjen fan bugs en kwetsberens dêryn. MediaTek en Qualcomm basearre harren ymplemintaasje fan ALAC codecs op Apple syn orizjinele iepen boarne koade, mar net oanpakke de kwetsberheden oanpakt troch Apple syn ymplemintaasje yn harren ymplemintaasje.
D'r is noch gjin ynformaasje oer de manifestaasje fan in kwetsberens yn 'e koade fan oare produkten dy't ek de ferâldere ALAC-koade brûke. Bygelyks, it ALAC-formaat is sûnt FFmpeg 1.1 stipe, mar de ymplemintaasjekoade fan de dekoder wurdt aktyf ûnderhâlden.
Boarne: opennet.ru
