Błąd w ALAC umożliwia przejęcie kontroli nad milionami urządzeń z Androidem

Badacze z firmy Check Point poinformowali, że odkryli lukę w Apple Lossless Audio Codec (ALAC), która umożliwia hakerom przejęcie kontroli nad milionami urządzeń z systemem Android wyposażonych w mobilne procesory firm Qualcomm i MediaTek. Można ją wykorzystać za pomocą złośliwego pliku audio.

Luka znajdowała się w ALAC (Apple Lossless Audio Codec), znanym również jako Apple Lossless – formacie audio wprowadzonym przez Apple w 2004 roku w celu dostarczania bezstratnego dźwięku przez Internet. Firma Apple od lat aktualizuje swoją własną wersję dekodera, usuwając luki w zabezpieczeniach, natomiast wersja open-source używana przez firmy Qualcomm i MediaTek nie była aktualizowana od 2011 roku!

Błędny kod ALAC zawierał lukę typu out-of-bounds, co oznacza, że pobierał dane spoza granic przydzielonej pamięci. Hakerzy mogli wykorzystać ten błąd, aby zmusić dekoder do wykonania złośliwego kodu, który w przeciwnym razie byłby niedostępny.

Odkryte przez naszych badaczy błędy w ALAC mogą zostać wykorzystane przez atakującego do zdalnego wykonania kodu (RCE) na urządzeniu mobilnym poprzez nieprawidłowo sformatowany plik audio

Ataki RCE pozwalają atakującemu na zdalne wykonanie złośliwego kodu na komputerze. Wpływ luki RCE może być różny – od wykonania złośliwego oprogramowania do przejęcia kontroli nad danymi multimedialnymi użytkownika, w tym strumieniami wideo z kamery zaatakowanego urządzenia  – przekazała w czwartek firma Check Point.

Lukę w ALAC usunięto w grudniu zeszłego roku

Check Point cytuje badacza, który zasugerował, że dwie trzecie wszystkich smartfonów z systemem Android, sprzedanych w 2021 roku, jest podatnych na atak, o ile nie otrzymały one poprawki. Na dodatek Qualcomm i MediaTek są dostawcami układów scalonych dla około 95% urządzeń z systemem Android w Stanach Zjednoczonych.

Luka w ALAC – oznaczona jako CVE-2021-30351 przez Qualcomm oraz CVE-2021-0674 i CVE-2021-0675 przez MediaTek – może być również wykorzystana przez nieuprawnioną aplikację systemu Android do podniesienia swoich uprawnień systemowych do danych multimedialnych i mikrofonu urządzenia. Może to pozwolić na podsłuchiwanie rozmów i innych dźwięków otoczenia.

Dwaj producenci chipsetów przesłali w zeszłym roku poprawki do Google lub producentów urządzeń, którzy z kolei w grudniu dostarczyli je kwalifikującym się użytkownikom. Użytkownicy Androida, którzy chcą wiedzieć, czy ich urządzenie jest załatane, mogą sprawdzić poziom poprawek bezpieczeństwa w ustawieniach systemu operacyjnego. Jeśli na poziomie poprawki widnieje data 2021 grudnia lub późniejsza, urządzenie nie jest już podatne na ataki. Jednak wiele telefonów nadal nie otrzymuje poprawek bezpieczeństwa regularnie, jeśli w ogóle je otrzymuje, a urządzenia z poziomem poprawek sprzed grudnia 2021 r. są nadal podatne na ataki.

Google prosi o pilną aktualizację Microsoft Teams na Androidzie

Luka stawia pod znakiem zapytania wiarygodność kodu open-source, z którego korzystają Qualcomm i MediaTek, oraz ich metody dbania o bezpieczeństwo. Jeśli Apple może aktualizować swój własny kod ALAC, aby naprawić luki, to niepokojące jest to, że dwaj producenci chipów nie poszli w ich ślady. Luka rodzi także pytanie o to, jakie inne biblioteki kodu open-source używane przez producentów układów scalonych mogą być tak samo groźne.

Firma Check Point zapowiedziała, że przedstawi szczegóły techniczne dotyczące luki w przyszłym miesiącu na konferencji CanSecWest w Vancouver.

Źródło: Ars Technica