Уязвимость аудиоформата ALAC поставила под угрозу безопасность двух из трёх Android-смартфонов

Специализирующаяся на вопросах кибербезопасности компания Check Point опубликовала доклад, в котором описала уязвимость аудиоформата ALAC (Apple Lossless Audio Codec) — из-за неё под угрозой взлома оказались две трети проданных в 2021 году Android-смартфонов. Удалённую атаку на устройство можно было произвести, отправив на него содержащий вредоносный код аудиофайл, к счастью, Google уже выпустила закрывающее эту уязвимость обновление платформы.

Источник изображения: harshahars / pixabay.com

Эксперты Check Point обнаружили уязвимость в прошлом году, и она была связана с открытой версией ALAC. Apple регулярно совершенствовала проприетарный вариант этого формата, однако его версия под open source не менялась с 2011 года. В результате решение устарело, и в нем была обнаружена уязвимость. Строго говоря, уязвимым оказался не сам формат ALAC, а его реализация в аудиодекодерах Qualcomm и MediaTek — двух крупнейших в мире производителей мобильных чипсетов, которые используются более чем на половине всех устройств. В частности, проблемы были выявлены в устройствах на базе флагманских процессоров Qualcomm Snapdragon 888 и 865.

Уязвимость позволяла потенциальному злоумышленнику производить кибератаку на устройство жертвы, отправив ему аудиофайл, заражённый эксплуатирующим уязвимость вредоносным кодом. После выполнения кода хакер получал возможность устанавливать на устройство другое вредоносное ПО или получать доступ к камере устройства. Открывался также доступ к папке с медиафайлами.

Qualcomm и MediaTek были своевременно уведомлены о проблеме и выпустили закрывающие уязвимость обновления для своего ПО. В случае с Qualcomm патч был разослан производителям устройств в октябре прошлого года. Специалистам Check Point не удалось обнаружить подтверждений того, что ошибка эксплуатировалась киберпреступниками на практике. Проблема не угрожает пользователям устройств, на которых установлено обновление безопасности Android версии «2021-12-05» или более поздней.

Qualcomm зарегистрировала уязвимость под номером CVE-2021-30351, а MediaTek — CVE-2021-0674 и CVE-2021-0675.

Источник: