新しいチェックポイントセキュリティ調査, 吹き替えALHACK, QualcommおよびMediaTekチップのオーディオデコーダーのALAC形式の脆弱性を明らかにします. 脆弱性は、影響を受けるデバイスのメディアおよび音声会話へのリモートアクセスを脅威アクターに与える可能性があります.
ALACオーディオコーディングフォーマットは、2つの大手モバイルチップセットメーカーの携帯電話で使用されています, 何百万人ものAndroidユーザーがプライバシーを侵害するリスクにさらされる可能性があります, レポートによると. さらに, で販売されているすべてのスマートフォンの3分の2 2021 脆弱です. 幸運, 両方のメーカーが問題を認識し、発見に応じてパッチと修正をリリースしました.
QualcommおよびMediaTecチップセットのALACフォーマットは脆弱です
初めに, ALACフォーマットとは? フォーマット, AppleLosslessとしても知られています, AppleIncによって開発されたオーディオコーディングフォーマットです. それは最初に導入されました 2004 デジタル音楽のロスレスデータ圧縮の目的を果たすため. Appleがそれをオープンソースにしたことは注目に値する 2011, それ以来, このフォーマットは、アップル以外の多くのオーディオ再生デバイスやプログラムに組み込まれています。, Androidなど, LinuxおよびWindowsのメディアプレーヤーとコンバーター.
「それ以来、Appleは独自バージョンのデコーダーを数回更新しています。, セキュリティ問題の修正とパッチ適用, しかし、共有コードはそれ以来パッチが適用されていません 2011. 多くのサードパーティベンダーは、独自のALAC実装の基礎としてApple提供のコードを使用しています, そしてそれらの多くは外部コードを維持していないと仮定するのは公正です,」チェックポイントに注意.
世界最大のモバイルチップメーカーの2つであることが判明しました, QualcommとMediatEK, オーディオデコーダーで脆弱なALACコードを使用しました. 後者は、世界中で販売されているスマートフォンの半分以上に含まれています. 「IDCによると, 48.1% 米国で販売されているすべてのAndroidスマートフォンのうち、第4四半期の時点でMediaTekを搭載しています 2021, Qualcommが現在保持している間 47% 市場の,」研究者は言った.
脆弱性により、リモートでコードが実行される可能性があります
チェック・ポイントは、脆弱性がrで使用される可能性があることを発見しましたエモートコードの実行 (RCE) 攻撃 不正な形式のオーディオファイルを使用するモバイルデバイス. さらに, 特権のないAndroidアプリも、弱点を利用して特権をエスカレートし、メディアデータやユーザーの会話へのアクセスを取得する可能性があります.
脆弱性は、MediaTekによってALACの問題にCVE-2021-0674およびCVE-2021-0675が割り当てられました。. 「脆弱性はすでに修正され、12月に公開されました。 2021 MediaTekセキュリティ速報. クアルコムは12月にCVE-2021-30351のパッチをリリースしました 2021 Qualcomm Security Bulletin," レポート 了解しました.
これがALACの脆弱性の履歴書です:
- CVSSスコアがCVE-2021-0674 5.5, MediaTekチップセットに影響します. ALACデコーダーでの不適切な入力検証のケースは、ユーザーの操作を必要とせずに情報開示につながる可能性があります.
- CVE-2021-0675のCVSSスコアは 7.8, MediaTekにもあります. これは、範囲外の書き込みに起因するALACデコーダーのローカル特権昇格の問題として説明されています.
- CVE-2021-30351のCVSSスコアは 9.8, Qualcommに影響します. これは、音楽の再生中に渡されるフレーム数の不適切な検証によって引き起こされる、範囲外のメモリアクセスの問題です。.
の 2020, セキュリティ研究者は、いわゆる QualcommチップセットのAchillesの脆弱性 それはAndroidデバイスに影響を与えました. すなわち, アキレスは以上のコレクションです 400 埋め込まれたQualcommチップセットのバグ. 問題の核心は、Androidデバイスの最も重要な機能の不適切な処理につながる可能性のあるDSPプロセッサ機能の中断でした: プロセスの実行, 充電とマルチメディア実行.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: