Natukoy ng Check Point ang isang kahinaan sa MediaTek (CVE-2021-0674, CVE-2021-0675) at Qualcomm (CVE-2021-30351) decoder para sa Apple Lossless Audio Codec (ALAC) na format ng audio compression. Ang problema ay nagpapahintulot sa attacker code na maisakatuparan habang pinoproseso ang espesyal na format na data sa ALAC na format.
Ang panganib ng kahinaan ay pinalala ng katotohanan na nakakaapekto ito sa mga Android device na nilagyan ng MediaTek at Qualcomm chips. Bilang resulta ng pag-atake, maaaring ayusin ng isang attacker ang pagpapatupad ng malware sa isang device na may access sa komunikasyon at multimedia data ng user, kabilang ang data mula sa camera. Ayon sa isang magaspang na pagtatantya, 2/3 ng lahat ng mga gumagamit ng mga smartphone batay sa Android platform ay apektado ng problema. Halimbawa, sa US, ang kabuuang bahagi ng lahat ng Android smartphone na nabenta noong Q4 2021 na ipinadala kasama ng MediaTek at Qualcomm chips ay 95.1% (48.1% - MediaTek, 47% - Qualcomm).
Ang mga detalye ng pagsasamantala sa kahinaan ay hindi pa nabubunyag, ngunit iniulat na ang mga pag-aayos ay ginawa sa mga bahagi ng MediaTek at Qualcomm para sa Android platform noong Disyembre 2021. Sa ulat ng Disyembre tungkol sa mga kahinaan sa Android platform, ang mga problema ay minarkahan bilang mga kritikal na kahinaan sa mga saradong bahagi para sa Qualcomm chips. Ang kahinaan sa mga bahagi ng MediaTek ay hindi binanggit sa mga ulat.
Ang kahinaan ay kawili-wili para sa mga ugat nito. Noong 2011, binuksan ng Apple sa ilalim ng lisensya ng Apache 2.0 ang source code para sa ALAC codec, na nagbibigay-daan sa iyong i-compress ang audio data nang walang pagkawala ng kalidad, at ginawang posible na gamitin ang lahat ng mga patent na nauugnay sa codec. Na-publish ang code ngunit hindi pinapanatili at hindi nagbago sa nakalipas na 11 taon. Kasabay nito, patuloy na hiwalay na sinusuportahan ng Apple ang pagpapatupad na ginamit sa mga platform nito, kabilang ang pag-aayos ng mga bug at mga kahinaan dito. Ibinatay ng MediaTek at Qualcomm ang kanilang mga pagpapatupad ng ALAC codec sa orihinal na open source code ng Apple, ngunit hindi natugunan ang mga kahinaan na tinutugunan ng pagpapatupad ng Apple sa kanilang mga pagpapatupad.
Wala pang impormasyon tungkol sa pagpapakita ng kahinaan sa code ng iba pang produkto na gumagamit din ng lumang ALAC code. Halimbawa, ang format ng ALAC ay suportado mula noong FFmpeg 1.1, ngunit ang code ng pagpapatupad ng decoder ay aktibong pinananatili.
Pinagmulan: opennet.ru