Check Point heeft een kwetsbaarheid ontdekt in de decoders van het ALAC-audiocompressieformaat (Apple Lossless Audio Codec) van MediaTek (CVE-2021-0674, CVE-2021-0675) en Qualcomm (CVE-2021-30351). Door dit probleem kan aanvallerscode uitvoeren bij het verwerken van speciaal geformatteerde ALAC-gegevens.
Het gevaar van de kwetsbaarheid wordt versterkt door het feit dat deze ook apparaten treft die op het platform draaien. Android, uitgerust met MediaTek- en Qualcomm-chips. Als gevolg van de aanval kan een aanvaller malware op het apparaat uitvoeren en toegang krijgen tot de communicatie- en multimediagegevens van de gebruiker, inclusief cameragegevens. Naar schatting heeft tweederde van alle smartphonegebruikers die dit platform gebruiken last van dit probleem. AndroidIn de VS bijvoorbeeld bedroeg het totale aandeel van alle verkochte auto's in het vierde kwartaal van 2021 Android- Smartphones met MediaTek- en Qualcomm-chips vertegenwoordigden 95.1% (48.1% MediaTek, 47% Qualcomm).
Details over hoe de kwetsbaarheid wordt misbruikt zijn nog niet bekendgemaakt, maar er wordt gemeld dat de componenten van MediaTek en Qualcomm voor het platform hierbij betrokken zijn. Android In december 2021 zijn er oplossingen doorgevoerd. In het platformkwetsbaarheidsrapport van december staat dit vermeld. Android De problemen worden geïdentificeerd als kritieke kwetsbaarheden in eigen componenten voor Qualcomm-chips. De kwetsbaarheid in MediaTek-componenten wordt niet in de rapporten vermeld.
De kwetsbaarheid is interessant vanwege de oorsprong ervan. In 2011 publiceerde Apple de broncode van de ALAC-codec, die lossless audiocompressie mogelijk maakt, onder de Apache 2.0-licentie en bood het de mogelijkheid om alle patenten met betrekking tot de codec te gebruiken. De code werd gepubliceerd, maar bleef zonder ondersteuning en is de afgelopen 11 jaar niet gewijzigd. Tegelijkertijd bleef Apple de implementatie die in zijn platforms werd gebruikt, afzonderlijk ondersteunen, inclusief het verhelpen van fouten en kwetsbaarheden. MediaTek en Qualcomm baseerden hun implementaties van ALAC-codecs op de code die oorspronkelijk door Apple was vrijgegeven, maar hielden in hun versies van oplossingen geen rekening met de kwetsbaarheden die in Apples implementatie waren verholpen.
Er is nog geen informatie over de kwetsbaarheid in de code van andere producten die ook de verouderde ALAC-code gebruiken. Zo wordt het ALAC-formaat al ondersteund sinds FFmpeg 1.1, maar de code met de decoderimplementatie wordt actief onderhouden.
Bron: opennet.ru
