ຊ່ອງໂຫວ່ໃນເຟີມແວຂອງຊິບ MediaTek DSP ທີ່ໃຊ້ໃນສະມາດໂຟນຫຼາຍລຸ້ນ

ນັກຄົ້ນຄວ້າຈາກ Checkpoint ໄດ້ກໍານົດສາມຊ່ອງໂຫວ່ (CVE-2021-0661, CVE-2021-0662, CVE-2021-0663) ໃນເຟີມແວຂອງຊິບ MediaTek DSP, ເຊັ່ນດຽວກັນກັບຊ່ອງໂຫວ່ຢູ່ໃນຊັ້ນປະມວນຜົນສຽງ MediaTek Audio HAL (CVE- 2021- 0673). ຖ້າຊ່ອງໂຫວ່ຖືກຂູດຮີດຢ່າງສໍາເລັດຜົນ, ຜູ້ໂຈມຕີສາມາດລັກຟັງຜູ້ໃຊ້ຈາກແອັບພລິເຄຊັນທີ່ບໍ່ມີສິດທິພິເສດສໍາລັບແພລະຕະຟອມ Android.

ໃນປີ 2021, MediaTek ກວມເອົາປະມານ 37% ຂອງການຂົນສົ່ງຂອງຊິບພິເສດສໍາລັບໂທລະສັບສະຫຼາດແລະ SoCs (ອີງຕາມຂໍ້ມູນອື່ນໆ, ໃນໄຕມາດທີສອງຂອງ 2021, ສ່ວນແບ່ງຂອງ MediaTek ໃນບັນດາຜູ້ຜະລິດຊິບ DSP ສໍາລັບໂທລະສັບສະຫຼາດແມ່ນ 43%). ຊິບ MediaTek DSP ຍັງຖືກໃຊ້ໃນສະມາດໂຟນເຮືອທຸງໂດຍ Xiaomi, Oppo, Realme ແລະ Vivo. ຊິບ MediaTek, ອີງໃສ່ microprocessor ທີ່ມີສະຖາປັດຕະຍະກໍາ Tensilica Xtensa, ຖືກນໍາໃຊ້ໃນໂທລະສັບສະຫຼາດເພື່ອດໍາເນີນການເຊັ່ນການປະມວນຜົນສຽງ, ຮູບພາບແລະວິດີໂອ, ໃນຄອມພິວເຕີສໍາລັບລະບົບຄວາມເປັນຈິງເພີ່ມຂຶ້ນ, ວິໄສທັດຄອມພິວເຕີແລະການຮຽນຮູ້ເຄື່ອງຈັກ, ເຊັ່ນດຽວກັນກັບໃນການປະຕິບັດຮູບແບບການສາກໄຟໄວ.

ໃນລະຫວ່າງການວິສະວະກໍາຍ້ອນກັບຂອງເຟີມແວສໍາລັບຊິບ MediaTek DSP ໂດຍອີງໃສ່ແພລະຕະຟອມ FreeRTOS, ມີຫຼາຍວິທີໄດ້ຖືກກໍານົດເພື່ອປະຕິບັດລະຫັດໃນດ້ານເຟີມແວແລະໄດ້ຮັບການຄວບຄຸມການດໍາເນີນງານໃນ DSP ໂດຍການສົ່ງຄໍາຮ້ອງຂໍທີ່ສ້າງຂຶ້ນພິເສດຈາກແອັບພລິເຄຊັນທີ່ບໍ່ມີສິດທິພິເສດສໍາລັບແພລະຕະຟອມ Android. ຕົວຢ່າງການປະຕິບັດຕົວຈິງຂອງການໂຈມຕີໄດ້ຖືກສະແດງໃຫ້ເຫັນຢູ່ໃນໂທລະສັບສະຫຼາດ Xiaomi Redmi Note 9 5G ທີ່ມີ MediaTek MT6853 (Dimensity 800U) SoC. ມັນໄດ້ຖືກສັງເກດເຫັນວ່າ OEMs ໄດ້ຮັບການແກ້ໄຂແລ້ວສໍາລັບຊ່ອງໂຫວ່ໃນການອັບເດດເຟີມແວຂອງ MediaTek ເດືອນຕຸລາ.

ໃນ​ບັນ​ດາ​ການ​ໂຈມ​ຕີ​ທີ່​ສາ​ມາດ​ປະ​ຕິ​ບັດ​ໂດຍ​ການ​ປະ​ຕິ​ບັດ​ລະ​ຫັດ​ຂອງ​ທ່ານ​ໃນ​ລະ​ດັບ firmware ຂອງ chip DSP ໄດ້​:

• ການເພີ່ມສິດທິພິເສດ ແລະທາງຂ້າມຄວາມປອດໄພ - stealthily ເກັບກໍາຂໍ້ມູນເຊັ່ນ: ຮູບພາບ, ວິດີໂອ, ການບັນທຶກການໂທ, ຂໍ້ມູນໄມໂຄຣໂຟນ, ຂໍ້ມູນ GPS, ແລະອື່ນໆ.
• ການປະຕິເສດການບໍລິການແລະການກະທໍາທີ່ເປັນອັນຕະລາຍ - ການຂັດຂວາງການເຂົ້າເຖິງຂໍ້ມູນ, ປິດການໃຊ້ງານການປ້ອງກັນຄວາມຮ້ອນເກີນໃນລະຫວ່າງການສາກໄຟໄວ.
• ການເຊື່ອງກິດຈະກໍາທີ່ເປັນອັນຕະລາຍແມ່ນການສ້າງອົງປະກອບອັນຕະລາຍທີ່ເບິ່ງບໍ່ເຫັນຢ່າງສົມບູນ ແລະບໍ່ສາມາດຖອດອອກໄດ້ ດໍາເນີນການຢູ່ໃນລະດັບເຟີມແວ.
• ການແນບແທັກເພື່ອຕິດຕາມຜູ້ໃຊ້, ເຊັ່ນ: ການເພີ່ມແທັກທີ່ບໍ່ສຸພາບໃສ່ຮູບພາບ ຫຼືວິດີໂອເພື່ອກວດສອບວ່າຂໍ້ມູນທີ່ຖືກໂພສນັ້ນເຊື່ອມໂຍງກັບຜູ້ໃຊ້ຫຼືບໍ່.

ລາຍລະອຽດຂອງຊ່ອງໂຫວ່ໃນ MediaTek Audio HAL ຍັງບໍ່ທັນຖືກເປີດເຜີຍ, ແຕ່ອີກສາມຊ່ອງໂຫວ່ໃນເຟີມແວ DSP ແມ່ນເກີດມາຈາກການກວດສອບຂອບເຂດທີ່ບໍ່ຖືກຕ້ອງເມື່ອປະມວນຜົນຂໍ້ຄວາມ IPI (Inter-Processor Interrupt) ທີ່ສົ່ງໂດຍ audio_ipi audio driver ໄປຫາ DSP. ບັນຫາເຫຼົ່ານີ້ຊ່ວຍໃຫ້ທ່ານເຮັດໃຫ້ເກີດການ overflow buffer ຄວບຄຸມໃນ handlers ສະຫນອງໃຫ້ໂດຍ firmware, ເຊິ່ງຂໍ້ມູນກ່ຽວກັບຂະຫນາດຂອງຂໍ້ມູນທີ່ຖືກໂອນໄດ້ຖືກເອົາມາຈາກພາກສະຫນາມພາຍໃນຊຸດ IPI, ໂດຍບໍ່ມີການກວດສອບຂະຫນາດຕົວຈິງຢູ່ໃນຫນ່ວຍຄວາມຈໍາທີ່ໃຊ້ຮ່ວມກັນ.

ເພື່ອເຂົ້າເຖິງໄດເວີໃນລະຫວ່າງການທົດລອງ, ການໂທ ioctls ໂດຍກົງ ຫຼືຫ້ອງສະໝຸດ /vendor/lib/hw/audio.primary.mt6853.so, ເຊິ່ງບໍ່ມີໃຫ້ນຳໃຊ້ກັບແອັບພລິເຄຊັນ Android ປົກກະຕິ. ຢ່າງໃດກໍຕາມ, ນັກຄົ້ນຄວ້າໄດ້ພົບເຫັນການແກ້ໄຂສໍາລັບການສົ່ງຄໍາສັ່ງໂດຍອີງໃສ່ການນໍາໃຊ້ທາງເລືອກໃນການແກ້ບັນຫາທີ່ມີຢູ່ໃນຄໍາຮ້ອງສະຫມັກພາກສ່ວນທີສາມ. ພາລາມິເຕີເຫຼົ່ານີ້ສາມາດປ່ຽນແປງໄດ້ໂດຍການໂທຫາບໍລິການ AudioManager Android ເພື່ອໂຈມຕີຫ້ອງສະຫມຸດ MediaTek Aurisys HAL (libfvaudio.so), ເຊິ່ງສະຫນອງການໂທເພື່ອໂຕ້ຕອບກັບ DSP. ເພື່ອສະກັດກັ້ນການແກ້ໄຂບັນຫານີ້, MediaTek ໄດ້ຖອດຄວາມສາມາດໃນການໃຊ້ຄໍາສັ່ງ PARAM_FILE ຜ່ານ AudioManager.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru