🥇मीडियाटेक और क्वालकॉम के ALAC डिकोडर्स में भेद्यता, अधिकांश एंड्रॉइड डिवाइसों को प्रभावित कर रही है

चेक प्वाइंट ने मीडियाटेक (CVE-2021-0674, CVE-2021-0675) और क्वालकॉम (CVE-2021-30351) द्वारा पेश किए गए ALAC (Apple लॉसलेस ऑडियो कोडेक) ऑडियो कंप्रेशन फॉर्मेट डिकोडर्स में एक भेद्यता की पहचान की है। एएलएसी प्रारूप में विशेष रूप से स्वरूपित डेटा को संसाधित करते समय समस्या हमलावर कोड को निष्पादित करने की अनुमति देती है।

भेद्यता का खतरा इस तथ्य से बढ़ जाता है कि यह मीडियाटेक और क्वालकॉम चिप्स से लैस एंड्रॉइड प्लेटफॉर्म पर चलने वाले उपकरणों को प्रभावित करता है। हमले के परिणामस्वरूप, एक हमलावर उस डिवाइस पर मैलवेयर के निष्पादन को व्यवस्थित कर सकता है जिसके पास कैमरे से डेटा सहित उपयोगकर्ता संचार और मल्टीमीडिया डेटा तक पहुंच है। अनुमान है कि एंड्रॉइड प्लेटफॉर्म पर आधारित सभी स्मार्टफोन उपयोगकर्ताओं में से 2/3 इस समस्या से प्रभावित हैं। उदाहरण के लिए, अमेरिका में, 4 की चौथी तिमाही में मीडियाटेक और क्वालकॉम चिप्स के साथ बेचे गए सभी एंड्रॉइड स्मार्टफोन की कुल हिस्सेदारी 2021% (95.1% - मीडियाटेक, 48.1% - क्वालकॉम) थी।

भेद्यता के शोषण का विवरण अभी तक सामने नहीं आया है, लेकिन यह बताया गया है कि एंड्रॉइड प्लेटफॉर्म के लिए मीडियाटेक और क्वालकॉम घटकों को दिसंबर 2021 में पैच किया गया था। एंड्रॉइड प्लेटफ़ॉर्म में कमजोरियों पर एक दिसंबर की रिपोर्ट ने क्वालकॉम चिप्स के मालिकाना घटकों में महत्वपूर्ण कमजोरियों के रूप में मुद्दों की पहचान की। रिपोर्ट में मीडियाटेक घटकों में भेद्यता का उल्लेख नहीं किया गया है।

भेद्यता अपनी जड़ों के कारण दिलचस्प है। 2011 में, Apple ने ALAC कोडेक का स्रोत कोड खोला, जो अपाचे 2.0 लाइसेंस के तहत गुणवत्ता के नुकसान के बिना ऑडियो डेटा को संपीड़ित करने की अनुमति देता है, और कोडेक से संबंधित सभी पेटेंट का उपयोग करना संभव बना दिया। कोड प्रकाशित किया गया था, लेकिन अनुरक्षित छोड़ दिया गया था और पिछले 11 वर्षों से इसमें कोई बदलाव नहीं किया गया है। साथ ही, Apple ने अपने प्लेटफ़ॉर्म में उपयोग किए जाने वाले कार्यान्वयन का अलग से समर्थन करना जारी रखा, जिसमें इसमें त्रुटियों और कमजोरियों को दूर करना भी शामिल था। मीडियाटेक और क्वालकॉम ने अपने ALAC कोडेक कार्यान्वयन को Apple के मूल ओपन सोर्स कोड पर आधारित किया, लेकिन अपने पैच में Apple के कार्यान्वयन में संबोधित कमजोरियों को शामिल नहीं किया।

अन्य उत्पादों के कोड में भेद्यता के बारे में अभी तक कोई जानकारी नहीं है जो पुराने ALAC कोड का उपयोग करते हैं। उदाहरण के लिए, ALAC प्रारूप को FFmpeg 1.1 के बाद से समर्थित किया गया है, लेकिन डिकोडर कार्यान्वयन वाला कोड सक्रिय रूप से बनाए रखा गया है।

स्रोत: opennet.ru

MediaTek और Qualcomm ALAC डिकोडर्स में भेद्यता अधिकांश Android उपकरणों को प्रभावित कर रही है

एक टिप्पणी जोड़ें उत्तर रद्द