3 bug sui chip Qualcomm e MediaTek consentono la compromissione di media e conversazioni

Sono state rivelate tre vulnerabilità di sicurezza nei decoder audio dei chip Qualcomm e MediaTek che, se non risolte, potrebbero consentire a un malintenzionato di accedere da remoto ai media e alle conversazioni audio dai dispositivi mobili.

Secondo la società di sicurezza informatica israeliana Check Point, i problemi potrebbero essere utilizzati per eseguire attacchi di esecuzione di codice remoto (RCE) semplicemente inviando un file audio appositamente predisposto.

“L’impatto di una vulnerabilità RCE può consentire l’esecuzione di malware o il controllo sui dati multimediali di un utente, incluso lo streaming dalla telecamera di una macchina compromessa”

hanno affermato i ricercatori in un rapporto.

“Inoltre, un’app Android senza privilegi potrebbe utilizzare queste vulnerabilità per aumentare i propri privilegi e ottenere l’accesso ai dati multimediali e alle conversazioni degli utenti”.

Le vulnerabilità sono radicate in un formato di codifica audio open source sviluppato da Apple nel 2011. 

Chiamato Apple Lossless Audio Codec (ALAC) o Apple Lossless, il formato del codec audio viene utilizzato per la compressione dei dati senza perdita di qualità nella musica.

Da allora, diversi fornitori di terze parti, tra cui Qualcomm e MediaTek, hanno incorporato l’implementazione del codec audio di riferimento fornito da Apple come base per i propri decoder audio.

E mentre Apple ha costantemente corretto i difetti di sicurezza nella sua versione proprietaria di ALAC, la variante open source del codec non ha ricevuto un singolo aggiornamento da quando è stata caricata su GitHub 11 anni fa, il 27 ottobre 2011.

Le vulnerabilità scoperte da Check Point si riferiscono a questo codice ALAC, due dei quali sono stati identificati nei processori MediaTek e uno nei chipset Qualcomm.

Le CVE sono le seguenti:

• CVE-2021-0674 (punteggio CVSS: 5,5, MediaTek) – Un caso di convalida dell’input improprio nel decoder ALAC porta alla divulgazione di informazioni senza alcuna interazione dell’utente;
• CVE-2021-0675 (punteggio CVSS: 7,8, MediaTek) – Un difetto di escalation dei privilegi locali nel decoder ALAC;
• CVE-2021-30351 (punteggio CVSS: 9,8, Qualcomm) – Un accesso alla memoria fuori del limite, dovuto a una convalida impropria del numero di fotogrammi passati durante la riproduzione musicale.

In un exploit proof-of-concept ideato da Check Point, le vulnerabilità hanno permesso di “rubare il flusso della fotocamera del telefono“, ha affermato il ricercatore di sicurezza Slava Makkaveev, a cui è attribuito il merito di aver scoperto i difetti insieme a Netanel Ben Simon.

A seguito della divulgazione responsabile, tutte e tre le vulnerabilità sono state chiuse dai rispettivi produttori di chipset nel dicembre 2021.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks