Una nuova ricerca sulla sicurezza di Check Point, soprannominato ALHACK, rivela vulnerabilità nel formato ALAC dei decoder audio dei chip Qualcomm e MediaTek. Le vulnerabilità potrebbero garantire agli attori delle minacce l'accesso remoto ai media e alle conversazioni audio dei dispositivi interessati.
Il formato di codifica audio ALAC viene utilizzato dai due grandi produttori di chipset mobili nei loro telefoni cellulari, e potrebbe mettere milioni di utenti Android a rischio di esporre la propria privacy, dice il rapporto. Inoltre, due terzi di tutti gli smartphone venduti 2021 sono vulnerabili. Per fortuna, entrambi i produttori hanno riconosciuto i problemi e rilasciato patch e correzioni in risposta alla scoperta.
Il formato ALAC nei chipset Qualcomm e MediaTec è vulnerabile
Prima di tutto, qual è il formato ALAC? Il formato, noto anche come Apple Lossless, è un formato di codifica audio sviluppato da Apple Inc. È stato introdotto per la prima volta 2004 per servire ai fini della compressione dei dati senza perdita di dati della musica digitale. È interessante notare che Apple lo ha reso open source 2011, e da allora, il formato è stato incorporato in molti dispositivi e programmi di riproduzione audio non Apple, come Android, Lettori e convertitori multimediali Linux e Windows.
“Da allora Apple ha aggiornato più volte la versione proprietaria del decoder, risolvere e correggere i problemi di sicurezza, ma da allora il codice condiviso non è stato corretto 2011. Molti fornitori di terze parti utilizzano il codice fornito da Apple come base per le proprie implementazioni ALAC, ed è lecito presumere che molti di loro non mantengano il codice esterno,” Check Point annotato.
Si scopre che due dei più grandi produttori di chip mobili al mondo, Qualcomm e MediateK, hanno utilizzato il codice ALAC vulnerabile nei loro decoder audio. Questi ultimi sono inclusi in più della metà degli smartphone venduti nel mondo. “Secondo IDC, 48.1% di tutti i telefoni Android venduti negli Stati Uniti sono alimentati da MediaTek a partire dal quarto trimestre 2021, mentre Qualcomm attualmente detiene 47% del mercato,”I ricercatori hanno detto.
Le vulnerabilità potrebbero consentire l'esecuzione di codice in remoto
Check Point ha scoperto che le vulnerabilità potrebbero essere utilizzate in resecuzione del codice emote (RCE) attacchi su dispositivi mobili utilizzando un file audio non valido. Inoltre, un'app Android senza privilegi potrebbe anche utilizzare i punti deboli per aumentare i propri privilegi e ottenere l'accesso ai dati multimediali e alle conversazioni degli utenti.
Le vulnerabilità sono state assegnate CVE-2021-0674 e CVE-2021-0675 da MediaTek ai problemi ALAC. “Le vulnerabilità erano già state risolte e pubblicate a dicembre 2021 Bollettino sulla sicurezza MediaTek. Qualcomm ha rilasciato la patch per CVE-2021-30351 a dicembre 2021 Bollettino sulla sicurezza di Qualcomm," il rapporto noto.
Ecco un riepilogo delle vulnerabilità di ALAC:
- CVE-2021-0674 con un punteggio CVSS di 5.5, colpisce i chipset MediaTek. Un caso di convalida impropria dell'input nel decoder ALAC potrebbe portare alla divulgazione di informazioni senza la necessità di alcuna interazione da parte dell'utente.
- CVE-2021-0675 ha un punteggio CVSS di 7.8, e si trova anche in MediaTek. È stato descritto come un problema di escalation dei privilegi locali nel decodificatore ALAC originato da scrittura fuori limite.
- CVE-2021-30351 ha un punteggio CVSS di 9.8, e colpisce Qualcomm. Si tratta di un problema di accesso alla memoria fuori limite causato da una convalida impropria del numero di fotogrammi passati durante la riproduzione musicale.
In 2020, ricercatori di sicurezza hanno rivelato il cosiddetto Vulnerabilità di Achille nei chipset Qualcomm che ha interessato i dispositivi Android. Più specificamente, Achille è una collezione di oltre 400 bug nei chipset Qualcomm incorporati. Il cuore dei problemi era un'interruzione delle funzioni del processore DSP che poteva portare a una gestione impropria delle funzionalità più importanti del dispositivo Android: esecuzione del processo, ricarica ed esecuzione multimediale.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: