Güvenlik analistleri, Qualcomm ve MediaTek yonga setlerinde çalışan Android cihazların, Apple Kayıpsız Audio Codec'in (ALAC) uygulanmasındaki bir kusur nedeniyle uzaktan kod yürütülmesine karşı savunmasız olduğunu buldular.
ALAC, 2011 yılında Apple'ın açık kaynaklı olduğu kayıpsız ses sıkıştırması için bir ses kodlama biçimidir. O zamandan beri şirket, güvenlik düzeltmeleri de dahil olmak üzere formatta güncellemeleri yayınlamaktadır, ancak kodekleri kullanan her üçüncü taraf satıcı bu düzeltmeleri uygular.
Bir rapor kontrol noktası araştırmasına göre, bu, dünyanın en büyük akıllı telefon çip üreticilerinden ikisi olan Qualcomm ve Mediatek'ü içerir.
Analistler, hataların fiili sömürüsü hakkında pek çok ayrıntı sağlamamıştır, ancak Mayıs 2022'deki yaklaşmakta olan CanSecwest'te bunu yapmaya söz vermemiştir.
Mevcut ayrıntılardan, güvenlik açığı, uzak bir saldırganın kötü niyetli bir ses dosyası göndererek ve kullanıcıyı açmaya kandırarak bir hedef cihazda kod yürütmesini sağlar. Araştırmacılar bu saldırıya "Alhack" diyorlar.
Uzaktan Kod Yürütme saldırılarının etkisi, veri ihlallerinden, ekimden ve yürütülen kötü amaçlı yazılımlardan değişen, cihaz ayarlarını değiştirerek, mikrofon ve kamera gibi donanım bileşenlerine erişme, veya hesap devralma ile ilgili ciddi etkiler ile birlikte gelir.
ALAC kusurları Aralık 2021'de MediaTek ve Qualcomm tarafından sabitlendi ve CVE-2021-0674 (5.5 skorlu orta şiddet), CVE-2021-0675 (7.8 skorlu yüksek şiddet) olarak izlendi ve CVE-2021- 30351 (9.8 puanla kritik önem).
Araştırmacılar analizinden, Qualcomm ve Mediatek'ten ALAC kod çözücü uygulamaları olası sınır dışı yerlerden muzdariptir ve müzik çalma sırasında geçti ses çerçevelerinin yanlış şekilde doğrulanması.
Olası sonuçlar, kullanıcı etkileşimi gerektirmeyen ayrıcalıkların bilgi ifşası ve yükseltilmesi içerir.
BleepingComputer, Qualcomm'a müşteriler için currennt riski hakkında yorum yapmasını istedi. Bir şirket sözcüsü aşağıdaki ifadeyi sağladı:
Sağlam güvenliği ve gizliliği destekleyen teknolojiler sağlamak, Qualcomm teknolojileri için bir önceliktir. Sektörün standart koordineli açıklama uygulamalarını kullanmak için güvenlik araştırmacılarını kontrol noktası teknolojilerinden alıyoruz. ALANC AUDIO DECODER SAYISI İLE İLGİLİ OLDUĞUNDAN KALİTEĞİ TEKNOLOJİLERİ, Ekim 2021'de Aygıt Yapıcılarına Mevcut Yamalar Yaptı. Son kullanıcıları, güvenlik güncelleştirmeleri kullanılabilir hale geldikçe cihazlarını güncellemeye teşvik ediyoruz.
Kapalı kaynak sesli işlem birimlerinde uzaktan kod yürütme kusurlarının düzeltilmesi neredeyse her aya Android güvenlik güncelleştirmesinde bulunur.
Bununla birlikte, bunların sömürülmesi nadiren önemsizdir ve bileşen satıcıları, sömürü riskini azaltmak için birkaç teknik detay sağlar.
Örneğin, Nisan ayının Android yamaları, kapalı kaynaklı bileşenlerde kritik güvenlik açıkları için dokuz düzeltme dahildir. Bunlardan biri CVE-2021-35104'dür (9.8 Şiddetli Dite Skoru) - FLAC Sesli Klipleri oynatırken başlıkların yanlış ayrıştırılmasına neden olan bir tampon taşmasıdır.
Hata, Qualcomm'un son birkaç yılda yayınladığı neredeyse tüm ürün yelpazesinde bulunan yonga setlerini etkiledi.
Standart güvenlik tavsiyesi burada da geçerlidir: Cihazlarınızı güncel tutun, bu durumda "Aralık 2021" ya da daha sonra Android yama seviyesinin çalıştırılması anlamına gelir.
Cihaz satıcıdan artık güvenlik güncelleştirmeleri almazsa, hala Android yamaları sağlayan üçüncü taraf bir Android dağıtımı yüklemesi geçerli bir seçenektir.
Son olarak, bilinmeyen veya şüpheli kaynaklardan/kullanıcılardan ses dosyaları alırken, güvenlik açığını tetikleyebilecekleri için bunları açmak en iyisidir.
Kritik Apache Struts RCE güvenlik açığı tamamen sabit değildi, şimdi yama
Microsoft, bulut hizmetlerinde Spring4shell saldırılarını algılar
Trend mikro, aktif olarak sömürülen uzaktan kod yürütme hatası düzeltmeleri
Tüm Cihazlar İçin Kritik SonicWall Firewall Yama Yayınlanmadı
Western Digital Cloud OS güncellemesi, kritik güvenlik açığını giderir
Kaynak: Bleeping Computer