Check Point har identifisert en sårbarhet i ALAC (Apple Lossless Audio Codec) lydkomprimeringsformatdekodere som tilbys av MediaTek (CVE-2021-0674, CVE-2021-0675) og Qualcomm (CVE-2021-30351). Problemet gjør at angriperkode kan kjøres ved behandling av spesialformaterte data i ALAC-format.
Faren for sårbarheten forverres av det faktum at den påvirker enheter som kjører Android-plattformen utstyrt med MediaTek og Qualcomm-brikker. Som et resultat av angrepet kan en angriper organisere kjøringen av skadelig programvare på en enhet som har tilgang til brukerkommunikasjon og multimediedata, inkludert data fra kameraet. Det er anslått at 2/3 av alle smarttelefonbrukere basert på Android-plattformen er berørt av problemet. For eksempel, i USA, var den totale andelen av alle Android-smarttelefoner solgt i 4. kvartal 2021 som ble levert med MediaTek- og Qualcomm-brikker 95.1 % (48.1 % - MediaTek, 47 % - Qualcomm).
Detaljer om utnyttelsen av sårbarheten er ennå ikke avslørt, men det er rapportert at MediaTek- og Qualcomm-komponentene for Android-plattformen ble oppdatert i desember 2021. En desemberrapport om sårbarheter i Android-plattformen identifiserte problemene som kritiske sårbarheter i proprietære komponenter for Qualcomm-brikker. Sårbarheten i MediaTek-komponenter er ikke nevnt i rapportene.
Sårbarhet er interessant på grunn av sine røtter. I 2011 åpnet Apple kildekoden til ALAC-kodeken, som tillater komprimering av lyddata uten tap av kvalitet, under Apache 2.0-lisensen, og gjorde det mulig å bruke alle patenter knyttet til kodeken. Koden ble publisert, men ikke vedlikeholdt og har ikke blitt endret de siste 11 årene. Samtidig fortsatte Apple å separat støtte implementeringen som ble brukt på plattformene, inkludert eliminering av feil og sårbarheter i den. MediaTek og Qualcomm baserte sine ALAC-kodekimplementeringer på Apples originale åpne kildekode, men inkluderte ikke sårbarheter som ble adressert i Apples implementering i patchene deres.
Det er ennå ingen informasjon om sårbarheten i koden til andre produkter som også bruker den utdaterte ALAC-koden. For eksempel har ALAC-formatet blitt støttet siden FFmpeg 1.1, men koden med dekoderimplementeringen opprettholdes aktivt.
Kilde: opennet.ru