Check Point a identificat o vulnerabilitate în decodoarele în format de compresie audio ALAC (Apple Lossless Audio Codec) oferite de MediaTek (CVE-2021-0674, CVE-2021-0675) și Qualcomm (CVE-2021-30351). Problema permite executarea codului atacatorului atunci când procesează date special formatate în format ALAC.
Pericolul vulnerabilității este agravat de faptul că afectează dispozitivele care rulează platforma Android echipate cu cipuri MediaTek și Qualcomm. Ca urmare a atacului, un atacator poate organiza execuția de malware pe un dispozitiv care are acces la comunicațiile utilizatorului și datele multimedia, inclusiv datele de pe cameră. Se estimează că 2/3 din toți utilizatorii de smartphone-uri bazați pe platforma Android sunt afectați de problemă. De exemplu, în SUA, ponderea totală a tuturor smartphone-urilor Android vândute în al 4-lea trimestru din 2021 care au fost livrate cu cipuri MediaTek și Qualcomm a fost de 95.1% (48.1% - MediaTek, 47% - Qualcomm).
Detaliile privind exploatarea vulnerabilității nu au fost încă dezvăluite, dar se raportează că componentele MediaTek și Qualcomm pentru platforma Android au fost patchizate în decembrie 2021. Un raport din decembrie privind vulnerabilitățile din platforma Android a identificat problemele drept vulnerabilități critice în componentele proprietare pentru cipurile Qualcomm. Vulnerabilitatea componentelor MediaTek nu este menționată în rapoarte.
Vulnerabilitatea este interesantă datorită rădăcinilor sale. În 2011, Apple a deschis codul sursă al codecului ALAC, care permite comprimarea datelor audio fără pierderea calității, sub licența Apache 2.0, și a făcut posibilă utilizarea tuturor brevetelor legate de codec. Codul a fost publicat, dar nu a fost întreținut și nu a fost modificat în ultimii 11 ani. În același timp, Apple a continuat să susțină separat implementarea utilizată în platformele sale, inclusiv eliminând erorile și vulnerabilitățile din aceasta. MediaTek și Qualcomm și-au bazat implementările de codec ALAC pe codul original deschis al Apple, dar nu au inclus vulnerabilitățile abordate în implementarea Apple în corecțiile lor.
Nu există încă informații despre vulnerabilitatea din codul altor produse care folosesc și codul ALAC învechit. De exemplu, formatul ALAC a fost acceptat începând cu FFmpeg 1.1, dar codul cu implementarea decodorului este menținut activ.
Sursa: opennet.ru