Check Point 發現 MediaTek（CVE-2021-0674、CVE-2021-0675）和Qualcomm（CVE-2021-30351）提供的 ALAC（Apple 無損音訊編解碼器）音訊壓縮格式解碼器中存在漏洞。該問題允許在處理 ALAC 格式的特殊格式資料時執行攻擊者程式碼。
該漏洞影響運行配備聯發科和高通晶片的 Android 平台的設備，這進一步加劇了該漏洞的危險性。攻擊的結果是，攻擊者可以在有權存取用戶通訊和多媒體資料（包括來自攝影機的資料）的裝置上組織惡意軟體的執行。據估計，所有基於Android平台的智慧型手機用戶中有2/3受到此問題的影響。例如，在美國，4 年第四季銷售的所有搭載聯發科和高通晶片的 Android 智慧型手機的總份額為 2021%（聯發科為 95.1%，高通為 48.1%）。
該漏洞的利用細節尚未披露，但據報導，Android 平台的聯發科和高通組件已於 2021 年 XNUMX 月修復。 XNUMX 月的一份關於 Android 平台漏洞的報告將這些問題確定為高通晶片專有組件中的嚴重漏洞。報告中沒有提及聯發科技組件中的漏洞。
漏洞之所以有趣，是因為它的根源。 2011年，Apple在Apache 2.0許可下開放了ALAC編解碼器的源代碼，該編解碼器允許在不損失質量的情況下壓縮音頻數據，並使得使用與該編解碼器相關的所有專利成為可能。該程式碼已發布，但無人維護，並且在過去 11 年裡沒有進行任何更改。同時，蘋果繼續單獨支援其平台中使用的實現，包括消除其中的錯誤和漏洞。聯發科技和高通的 ALAC 編解碼器實作基於 Apple 的原始開源程式碼，但並未在其修補程式中包含 Apple 實作中解決的漏洞。
目前還沒有關於也使用過時 ALAC 程式碼的其他產品程式碼中存在漏洞的資訊。例如，自 FFmpeg 1.1 起就支援 ALAC 格式，但解碼器實現的程式碼仍會積極維護。
來源： opennet.ru