Критическая ошибка в Android может дать доступ к медиафайлам пользователей

1
Как запускать приложения и игры для Android в Linux

Специалисты по безопасности обнаружили, что устройства Android, работающие на чипсетах Qualcomm и MediaTek, уязвимы к удаленному выполнению кода из-за недостатка в реализации Apple Lossless Audio Codec (ALAC).

ALAC — это формат аудиокодирования для сжатия звука без потерь, который компания Apple открыла в 2011 году. С тех пор компания выпускает обновления формата, включая исправления безопасности, но не все сторонние производители, использующие кодек, применяют эти исправления.

Согласно отчету Check Point Research, к ним относятся Qualcomm и MediaTek, два крупнейших в мире производителя чипов для смартфонов.

Звук RCE

Аналитики пока не предоставили много подробностей о фактической эксплуатации уязвимости, но обещали сделать это на предстоящей выставке CanSecWest в мае 2022 года.

Судя по имеющейся информации, уязвимость позволяет удаленному злоумышленнику выполнить код на целевом устройстве, отправив вредоносный аудиофайл и обманом заставив пользователя открыть его. Исследователи называют эту атаку «ALHACK».

Атаки с удаленным выполнением кода имеют серьезные последствия, начиная от утечки данных, установки и выполнения вредоносных программ, изменения настроек устройства, доступа к аппаратным компонентам, таким как микрофон и камера, или захвата учетной записи.

Дефекты ALAC были исправлены компаниями MediaTek и Qualcomm в декабре 2021 года и отслеживаются как CVE-2021-0674 (средней тяжести с оценкой 5,5 балла), CVE-2021-0675 (высокой тяжести с оценкой 7,8 балла) и CVE-2021-30351 (критической тяжести с оценкой 9,8 балла).

Согласно анализу исследователей, реализации декодера ALAC от Qualcomm и MediaTek страдают от возможного чтения и записи за пределами границ и неправильной проверки аудиокадров, передаваемых во время воспроизведения музыки.

Возможные последствия включают раскрытие информации и повышение привилегий без вмешательства пользователя.

BleepingComputer попросил Qualcomm прокомментировать текущий риск для клиентов. Представитель компании предоставил следующее заявление:

Предоставление технологий, поддерживающих надежную безопасность и конфиденциальность, является приоритетом для Qualcomm Technologies. Мы благодарим исследователей безопасности из Check Point Technologies за использование стандартных для отрасли методов скоординированного раскрытия информации. Что касается раскрытой ими проблемы с аудиодекодером ALAC, Qualcomm Technologies предоставила производителям устройств исправления в октябре 2021 года. Мы рекомендуем конечным пользователям обновлять свои устройства по мере поступления обновлений безопасности.

Случай с дефектами аудиокодеков

Исправления недостатков удаленного выполнения кода в закрытых аудиокодеках присутствуют почти в каждом ежемесячном обновлении безопасности Android.

Однако их эксплуатация редко бывает тривиальной, а поставщики компонентов предоставляют мало технических деталей для снижения риска эксплуатации.

Например, апрельские патчи для Android включали девять исправлений критических уязвимостей в компонентах с закрытым исходным кодом. Одна из них — CVE-2021-35104 (оценка серьезности 9,8) — переполнение буфера, приводившее к неправильному разбору заголовков при воспроизведении аудиоклипов FLAC.

Ошибка затронула чипсеты, присутствующие практически во всем спектре продуктов, выпущенных Qualcomm за последние несколько лет.

Как оставаться в безопасности

Стандартный совет по безопасности применим и здесь: следите за актуальностью своих устройств, в данном случае это означает использование патча Android уровня «декабрь 2021» или более позднего.

Если устройство больше не получает обновления безопасности от производителя, можно установить сторонний дистрибутив Android, который все еще предоставляет исправления Android.

Наконец, при получении аудиофайлов от неизвестных или подозрительных источников/пользователей лучше не открывать их, поскольку они могут запустить уязвимость.

Последнее обновление 6 месяцев назад — GameZoom

0 0 голоса
Рейтинг статьи
Подписаться
Уведомить о
guest

0 комментариев
Межтекстовые Отзывы
Посмотреть все комментарии