Check Point je identificirao ranjivost u dekoderima formata kompresije zvuka ALAC (Apple Lossless Audio Codec) koje nude MediaTek (CVE-2021-0674, CVE-2021-0675) i Qualcomm (CVE-2021-30351). Problem dopušta izvršavanje koda napadača prilikom obrade posebno formatiranih podataka u ALAC formatu.
Opasnost od ranjivosti povećava se činjenicom da utječe na uređaje koji pokreću Android platformu opremljenu MediaTek i Qualcomm čipovima. Kao rezultat napada, napadač može organizirati izvođenje zlonamjernog softvera na uređaju koji ima pristup komunikaciji korisnika i multimedijskim podacima, uključujući podatke s kamere. Procjenjuje se da je 2/3 svih korisnika pametnih telefona baziranih na Android platformi pogođeno ovim problemom. Na primjer, u SAD-u je ukupni udio svih Android pametnih telefona prodanih u 4. kvartalu 2021. koji su isporučeni s MediaTek i Qualcomm čipovima bio 95.1% (48.1% - MediaTek, 47% - Qualcomm).
Pojedinosti o iskorištavanju ranjivosti još nisu objavljene, ali se navodi da su MediaTek i Qualcomm komponente za Android platformu zakrpane u prosincu 2021. Prosinačko izvješće o ranjivostima na platformi Android identificiralo je probleme kao kritične ranjivosti u vlasničkim komponentama za Qualcomm čipove. Ranjivost u komponentama MediaTeka nije spomenuta u izvješćima.
Ranjivost je zanimljiva zbog svojih korijena. Apple je 2011. godine pod licencom Apache 2.0 otvorio izvorni kod kodeka ALAC koji omogućuje kompresiju audio podataka bez gubitka kvalitete i omogućio korištenje svih patenata vezanih uz kodek. Kodeks je objavljen, ali nije održavan i nije mijenjan zadnjih 11 godina. U isto vrijeme, Apple je nastavio zasebno podržavati implementaciju koja se koristi na njegovim platformama, uključujući uklanjanje pogrešaka i ranjivosti u njoj. MediaTek i Qualcomm temeljili su svoje implementacije ALAC kodeka na Appleovom izvornom kodu otvorenog koda, ali nisu uključili ranjivosti koje su riješene u Appleovoj implementaciji u svojim zakrpama.
Još nema informacija o ranjivosti u kodu drugih proizvoda koji također koriste zastarjeli ALAC kod. Na primjer, ALAC format je podržan od FFmpeg 1.1, ali se kod s implementacijom dekodera aktivno održava.
Izvor: opennet.ru