Badacze z zespo\u0142u Google Project Zero szczeg\u00f3\u0142owo przeanalizowali technik\u0119 tworzenia dzia\u0142aj\u0105cego exploita, umo\u017cliwiaj\u0105cego zdalne wykonanie w\u0142asnego kodu z uprawnieniami j\u0105dra Linux poprzez wysy\u0142anie wiadomo\u015bci SMS lub RCS ze specjalnie sformatowanym za\u0142\u0105cznikiem d\u017awi\u0119kowym. Atak odbywa si\u0119 bez wykonywania jakichkolwiek dzia\u0142a\u0144 przez u\u017cytkownika, w tym nie wymaga przegl\u0105dania ani ods\u0142uchiwania otrzymanej wiadomo\u015bci. <\/p>\n
W exploicie wykorzystano dwie luki: w bibliotece Dolby Unified Decoder (CVE-2025-54957) oraz w sterowniku bigwave dla j\u0105dra Linux (CVE-2025-36934). Wcze\u015bniej, aby wykorzysta\u0107 luki w kodekach, u\u017cytkownik musia\u0142 ods\u0142ucha\u0107 lub zobaczy\u0107 otrzymane z\u0142o\u015bliwe tre\u015bci. Po integracji asystent\u00f3w AI w najnowszych wersjach systemu Android, multimedia s\u0105 automatycznie dekodowane po otrzymaniu, co znacznie zwi\u0119ksza powierzchni\u0119 atak\u00f3w, kt\u00f3re nie wymagaj\u0105 dzia\u0142a\u0144 u\u017cytkownika (0-click). W kontek\u015bcie d\u017awi\u0119kowych wiadomo\u015bci SMS i RCS, aplikacja Google Messages za pomoc\u0105 us\u0142ugi com.google.android.tts automatycznie tworzy transkrypcj\u0119, aby zastosowa\u0107 j\u0105 do d\u017awi\u0119kowych wiadomo\u015bci tekstowego wyszukiwania, co pozwala na wykorzystanie luk w istniej\u0105cych d\u017awi\u0119kowych kodekach bez udzia\u0142u u\u017cytkownika. <\/p>\n
Problem w Dolby Unified Decoder jest spowodowany przepe\u0142nieniem ca\u0142kowitym przy obliczaniu rozmiaru bufora dla przetwarzanych struktur danych syncframe, co mo\u017ce by\u0107 wykorzystywane do zapisu poza przydzielonym buforem. W wyniku przepe\u0142nienia mo\u017ce zosta\u0107 nadpisany wska\u017anik u\u017cywany przy przetwarzaniu nast\u0119pnej klatki synchronizacyjnej, co z kolei pozwala na nadpisanie kontrolowanymi przez atakuj\u0105cego danymi wska\u017anika na funkcj\u0119 i zorganizowanie wykonania swojego kodu z prawami 'mediacodec', ograniczonymi przez SELinux. <\/p>\n
Do eksploatacji j\u0105dra Linux zosta\u0142a wykorzystana luka w sterowniku bigwave, odpowiedzialnym za prac\u0119 z urz\u0105dzeniem znakowym \/dev\/bigwave, do kt\u00f3rego uzyskano dost\u0119p z kontekstu SELinux 'mediacodec'. Luka ta pozwala\u0142a na nadpisanie struktur j\u0105dra poprzez manipulacje wywo\u0142aniem ioctl BIGO_IOCX_PROCESS i uzyskanie wykonywania kodu z prawami j\u0105dra. <\/p>\n
Luka w bibliotece Dolby Unified Decoder (libcodec2_soft_ddpdec.so), oferuj\u0105cej funkcje dekodowania format\u00f3w Dolby Digital (DD, AC-3) oraz Dolby Digital Plus (DD+, EAC-3), nie jest specyficzna dla Androida i oprogramowania dla Pixel 9, a tak\u017ce przejawia si\u0119 na innych platformach (Samsung S24, MacBook Air M1, iPhone 17 Pro, Windows, ChromeOS itd.). W repozytorium AOSP Androida oraz w oprogramowaniu dla Samsung S24 do proces\u00f3w uruchamianych w kontek\u015bcie mediacodec stosuje si\u0119 filtr wywo\u0142a\u0144 seccomp, kt\u00f3ry utrudnia dalsz\u0105 eksploatacj\u0119 luk w j\u0105drze. W oprogramowaniu dla Pixel 9 podobny filtr nie by\u0142 obecny. Od atak\u00f3w m\u00f3g\u0142by chroni\u0107<\/a> Mechanizm Memory Tagging (MTE) jest dost\u0119pny dla urz\u0105dze\u0144 Pixel 8+ tylko w formie opcji aktywowanej podczas w\u0142\u0105czania trybu 'Zaawansowane zabezpieczenia'. W macOS i iOS eksploatacj\u0119 utrudnia kompilacja biblioteki z flag\u0105 '-fbounds-safety', kt\u00f3ra wprowadza dodatkowe kontrole przekroczenia granic tablic, co obni\u017ca wydajno\u015b\u0107. <\/p>\n Badacze osobno analizuj\u0105 problemy z dostarczeniem u\u017cytkownikom poprawki dotycz\u0105cej luki w Dolby Unified Decoder. Informacje o luce zosta\u0142y ujawnione publicznie 82 dni przed dostarczeniem poprawki do u\u017cytkownik\u00f3w urz\u0105dze\u0144 Pixel. Firma Dolby zosta\u0142a poinformowana o problemie 26 czerwca 2025 roku. Pierwsza binarna poprawka zosta\u0142a wydana 18 wrze\u015bnia dla ChromeOS, ale dla urz\u0105dze\u0144 Android firma Dolby dostarczy\u0142a binarne \u0142atki dopiero 8 pa\u017adziernika. 15 pa\u017adziernika informacje o luce zosta\u0142y ujawnione publicznie. 12 listopada Samsung wyda\u0142 poprawk\u0119, a zaledwie 5 stycznia opublikowano poprawk\u0119 dla urz\u0105dze\u0144 Pixel. Rozpowszechnienie \u0142atki dla wszystkich urz\u0105dze\u0144 Android zaj\u0119\u0142o 139 dni. <\/p>\n