MediaTek आणि Qualcomm ALAC डिकोडरमधील असुरक्षा बहुतेक Android डिव्हाइसेसना प्रभावित करते

Check Point ने MediaTek (CVE-2021-0674, CVE-2021-0675) आणि Qualcomm (CVE-2021-30351) द्वारे ऑफर केलेल्या ALAC (Apple Lossless Audio Codec) ऑडिओ कॉम्प्रेशन फॉरमॅट डीकोडरमध्ये एक भेद्यता ओळखली आहे. ALAC फॉरमॅटमध्ये खास फॉरमॅट केलेल्या डेटावर प्रक्रिया करताना समस्या हल्लेखोर कोड कार्यान्वित करण्यास अनुमती देते.

मीडियाटेक आणि क्वालकॉम चिप्ससह सुसज्ज Android प्लॅटफॉर्मवर चालणार्‍या डिव्हाइसेसवर त्याचा परिणाम होतो या वस्तुस्थितीमुळे असुरक्षिततेचा धोका वाढला आहे. हल्ल्याचा परिणाम म्हणून, आक्रमणकर्ता अशा डिव्हाइसवर मालवेअरची अंमलबजावणी आयोजित करू शकतो ज्यात कॅमेऱ्यातील डेटासह वापरकर्ता संप्रेषण आणि मल्टीमीडिया डेटामध्ये प्रवेश आहे. असा अंदाज आहे की Android प्लॅटफॉर्मवर आधारित सर्व स्मार्टफोन वापरकर्त्यांपैकी 2/3 लोक या समस्येने प्रभावित आहेत. उदाहरणार्थ, यूएस मध्ये, MediaTek आणि Qualcomm चिप्ससह शिप केलेल्या २०२१ च्या चौथ्या तिमाहीत विकल्या गेलेल्या सर्व Android स्मार्टफोनचा एकूण हिस्सा ९५.१% (४८.१% - मीडियाटेक, ४७% - क्वालकॉम) होता.

असुरक्षिततेच्या शोषणाचे तपशील अद्याप उघड केले गेले नाहीत, परंतु असे नोंदवले गेले आहे की Android प्लॅटफॉर्मसाठी MediaTek आणि Qualcomm घटक डिसेंबर 2021 मध्ये पॅच केले गेले होते. अँड्रॉइड प्लॅटफॉर्ममधील भेद्यतेवरील डिसेंबरच्या अहवालात क्वालकॉम चिप्सच्या मालकीच्या घटकांमधील गंभीर भेद्यता म्हणून समस्या ओळखल्या गेल्या. MediaTek घटकांमधील भेद्यतेचा अहवालात उल्लेख केलेला नाही.

भेद्यता त्याच्या मुळांमुळे मनोरंजक आहे. 2011 मध्ये, ऍपलने ALAC कोडेकचा स्त्रोत कोड उघडला, जो Apache 2.0 परवान्याअंतर्गत ऑडिओ डेटाची गुणवत्ता न गमावता कॉम्प्रेशन करण्यास परवानगी देतो आणि कोडेकशी संबंधित सर्व पेटंट वापरणे शक्य केले. कोड प्रकाशित करण्यात आला होता परंतु तो कायम ठेवला गेला नाही आणि गेल्या 11 वर्षांपासून बदलला गेला नाही. त्याच वेळी, ऍपलने त्याच्या प्लॅटफॉर्ममध्ये वापरल्या जाणार्‍या अंमलबजावणीसाठी स्वतंत्रपणे समर्थन करणे सुरू ठेवले, त्यात त्रुटी आणि भेद्यता दूर करणे यासह. MediaTek आणि Qualcomm ने त्यांची ALAC कोडेक अंमलबजावणी ऍपलच्या मूळ ओपन सोर्स कोडवर आधारित आहे, परंतु ऍपलच्या अंमलबजावणीमध्ये संबोधित केलेल्या भेद्यता त्यांच्या पॅचमध्ये समाविष्ट केल्या नाहीत.

कालबाह्य ALAC कोड वापरणाऱ्या इतर उत्पादनांच्या कोडमधील भेद्यतेबद्दल अद्याप कोणतीही माहिती नाही. उदाहरणार्थ, ALAC स्वरूप FFmpeg 1.1 पासून समर्थित आहे, परंतु डीकोडर अंमलबजावणीसह कोड सक्रियपणे राखला जातो.

स्त्रोत: opennet.ru