Check Point huet eng Schwachstelle an ALAC (Apple Lossless Audio Codec) Audiokompressiounsformat Decoder identifizéiert, déi vun MediaTek (CVE-2021-0674, CVE-2021-0675) a Qualcomm (CVE-2021-30351) ugebuede ginn. De Problem erlaabt den Ugräifer Code auszeféieren wann Dir speziell formatéiert Daten am ALAC Format veraarbecht.
D'Gefor vun der Schwachstelle gëtt verschäerft duerch d'Tatsaach datt et Apparater beaflosst déi d'Android Plattform mat MediaTek a Qualcomm Chips ausgestatt sinn. Als Resultat vun der Attack kann en Ugräifer d'Ausféierung vu Malware op engem Apparat organiséieren, deen Zougang zu Benotzerkommunikatioun a Multimediadaten huet, dorënner Daten aus der Kamera. Et gëtt geschat datt 2/3 vun all Smartphone Benotzer baséiert op der Android Plattform vum Problem betraff sinn. Zum Beispill, an den USA war den Gesamtdeel vun allen Android Smartphones am 4. Quartal 2021 verkaaft, déi mat MediaTek a Qualcomm Chips verschéckt goufen 95.1% (48.1% - MediaTek, 47% - Qualcomm).
Detailer vun der Ausbeutung vun der Schwachstelle sinn nach net verëffentlecht ginn, awer et gëtt gemellt datt d'MediaTek a Qualcomm Komponente fir d'Android Plattform am Dezember 2021 gepatched goufen. En Dezember Bericht iwwer Schwachstelle vun der Android Plattform identifizéiert d'Problemer als kritesch Schwachstelle bei propriétaire Komponenten fir Qualcomm Chips. D'Schwachheet an de MediaTek Komponenten gëtt net an de Berichter ernimmt.
Schwachstelle ass interessant wéinst senge Wuerzelen. Am Joer 2011 huet Apple de Quellcode vum ALAC Codec opgemaach, deen d'Kompressioun vun Audiodaten ouni Qualitéitsverloscht erlaabt, ënner der Apache 2.0 Lizenz, an huet et méiglech gemaach all Patenter am Zesummenhang mam Codec ze benotzen. De Code gouf publizéiert awer net erhale gelooss an ass fir déi lescht 11 Joer net geännert ginn. Zur selwechter Zäit huet Apple weider d'Ëmsetzung op seng Plattformen getrennt ënnerstëtzen, dorënner d'Eliminatioun vu Feeler a Schwachstelle dran. MediaTek a Qualcomm baséieren hir ALAC Codec-Implementatiounen op Apple's originelle Open Source Code, awer hunn net Schwieregkeeten abegraff déi an der Apple Implementatioun an hire Patches adresséiert goufen.
Et gëtt nach keng Informatioun iwwer d'Schwachheet am Code vun anere Produkter déi och den alen ALAC Code benotzen. Zum Beispill ass den ALAC-Format zënter FFmpeg 1.1 ënnerstëtzt ginn, awer de Code mat der Decoder-Implementatioun gëtt aktiv erhale gelooss.
Source: opennet.ru