וואַלנעראַביליטי אין Qualcomm טשיפּס וואָס אַלאַוז אַטאַקינג אַן אַנדרויד מיטל דורך Wi-Fi

אין Qualcomm ס וויירליס שפּאָן אָנלייגן יידענאַפייד דריי וואַלנעראַביליטיז דערלאנגט אונטער די קאָד נאָמען "QualPwn". דער ערשטער אַרויסגעבן (CVE-2019-10539) אַלאַוז אַנדרויד דעוויסעס צו זיין רימאָוטלי קעגן דורך Wi-Fi. די רגע פּראָבלעם איז פאָרשטעלן אין די פּראַפּרייאַטערי פירמוואַרע מיט די Qualcomm וויירליס אָנלייגן און אַלאַוז אַקסעס צו די באַסעבאַנד מאָדעם (CVE-2019-10540). דריט פּראָבלעם פאָרשטעלן אין די icnss שאָפער (CVE-2019-10538) און מאכט עס מעגלעך צו דערגרייכן די דורכפירונג פון זיין קאָד אויף די קערן מדרגה פון די אַנדרויד פּלאַטפאָרמע. אויב אַ קאָמבינאַציע פון ​​​​די וואַלנעראַביליטיז איז הצלחה עקספּלויטאַד, די אַטאַקער קענען רימאָוטלי באַקומען קאָנטראָל פון אַ באַניצער 'ס מיטל אויף וואָס Wi-Fi איז אַקטיוו (די באַפאַלן ריקווייערז אַז די קאָרבן און די אַטאַקער זענען קאָננעקטעד צו דער זעלביקער וויירליס נעץ).

די באַפאַלן פיייקייט איז דעמאַנסטרייטיד פֿאַר Google Pixel2 און Pixel3 סמאַרטפאָנעס. רעסעאַרטשערס אָפּשאַצן אַז די פּראָבלעם פּאַטענטשאַלי אַפעקץ מער ווי 835 דעוויסעס באזירט אויף די Qualcomm Snapdragon 835 SoC און נייַער טשיפּס (סטאַרטינג מיט די Snapdragon 835, די WLAN פירמוואַרע איז ינאַגרייטיד מיט די מאָדעם סאַבסיסטאַם און געלאפן ווי אַן אפגעזונדערט אַפּלאַקיישאַן אין באַניצער פּלאַץ). דורך לויט Qualcomm, די פּראָבלעם אַפעקץ עטלעכע טוץ פאַרשידענע טשיפּס.

דערווייַל, בלויז גענעראַל אינפֿאָרמאַציע וועגן וואַלנעראַביליטיז איז בנימצא, און דעטאַילס פּלאַננעד צו זיין אנטפלעקט אויף 8 אויגוסט בייַ די שוואַרץ האַט קאָנפֿערענץ. Qualcomm און Google זענען נאָוטאַפייד פון די פראבלעמען אין מאַרץ און האָבן שוין באפרייט פיקסיז (Qualcomm ינפאָרמד וועגן די פראבלעמען אין יוני באַריכט, און Google האט פאַרפעסטיקט וואַלנעראַביליטיז אין אויגוסט אַנדרויד פּלאַטפאָרמע דערהייַנטיקן). כל יוזערז פון דעוויסעס באזירט אויף Qualcomm טשיפּס זענען רעקאַמענדיד צו ינסטאַלירן די בנימצא דערהייַנטיקונגען.

אין אַדישאַן צו ישוז שייַכות צו Qualcomm טשיפּס, די אויגוסט דערהייַנטיקן צו די אַנדרויד פּלאַטפאָרמע אויך ילימאַנייץ אַ קריטיש וואַלנעראַביליטי (CVE-2019-11516) אין די בראָדקאָם בלועטאָאָטה אָנלייגן, וואָס אַלאַוז אַ אַטאַקער צו ויספירן זייער קאָד אין דעם קאָנטעקסט פון אַ פּריוולידזשד פּראָצעס דורך שיקט אַ ספּעציעל קראַפטעד דאַטן אַריבערפירן בעטן. א וואַלנעראַביליטי (CVE-2019-2130) איז ריזאַלווד אין אַנדרויד סיסטעם קאַמפּאָונאַנץ וואָס קען לאָזן קאָד דורכפירונג מיט עלעוואַטעד פּריווילאַדזשאַז ווען פּראַסעסינג ספּעציעל קראַפטעד PAC טעקעס.

מקור: opennet.ru