Três vulnerabilidades de segurança foram divulgadas nos decodificadores de áudio dos chips Qualcomm e MediaTek que, se não forem resolvidas, podem permitir que um atacante obtenha acesso remoto a conversas de mídia e áudio de dispositivos móveis afetados.

De acordo com pesquisadores, os problemas podem ser usados como uma plataforma de lançamento para realizar ataques de execução remota de código (RCE) simplesmente enviando um arquivo de áudio especialmente criado.

O impacto de uma vulnerabilidade RCE pode variar desde a execução de malware até um invasor obter controle sobre os dados multimídia de um usuário, incluindo streaming da câmera de uma máquina comprometida”, disseram os pesquisadores em um relatório compartilhado com o The Hacker News.

“Além disso, um aplicativo Android sem privilégios pode usar essas vulnerabilidades para aumentar seus privilégios e obter acesso a dados de mídia e conversas de usuários”.

As vulnerabilidades, apelidadas de ALHACK, estão enraizadas em um formato de codificação de áudio originalmente desenvolvido e de código aberto pela Apple em 2011. Chamado de Apple Lossless Audio Codec (ALAC) ou Apple Lossless, o formato de codec de áudio é usado para compactação de dados sem perdas de música digital .

Desde então, vários fornecedores terceirizados, incluindo Qualcomm e MediaTek, incorporaram a implementação do codec de áudio de referência fornecido pela Apple como base para seus próprios decodificadores de áudio.

E embora a Apple tenha constantemente corrigido e corrigido falhas de segurança em sua versão proprietária do ALAC, a variante de código aberto do codec não recebeu uma única atualização desde que foi carregada no GitHub há 11 anos em 27 de outubro de 2011.

As vulnerabilidades descobertas pelos pesquisadores estão relacionadas a este código ALAC portado, dois dos quais foram identificados em processadores MediaTek e um em chipsets Qualcomm:

• CVE-2021-0674 (pontuação CVSS: 5,5, MediaTek) – Um caso de validação de entrada inadequada no decodificador ALAC levando à divulgação de informações sem qualquer interação do usuário.
• CVE-2021-0675 (pontuação CVSS: 7.8, MediaTek) – Uma falha de escalonamento de privilégio local no decodificador ALAC decorrente de gravação fora dos limites.
• CVE-2021-30351 (pontuação CVSS: 9.8, Qualcomm) – Um acesso de memória fora do limite devido à validação inadequada do número de quadros transmitidos durante a reprodução de música.

Em uma prova de conceito desenvolvida por pesquisadores, as vulnerabilidades possibilitaram “roubar o fluxo de câmera do Smartphone”, disse um dos pesquisadores de segurança, que é creditado por descobrir as falhas.

Após a divulgação responsável, todas as três vulnerabilidades foram fechadas pelos respectivos fabricantes de chipsets em dezembro de 2021.

Um agente de ameaça pode ter enviado uma música (arquivo de mídia) e, quando tocada por uma vítima em potencial, pode ter injetado código no serviço de mídia privilegiado. O agente de ameaça pode ter visto o que o usuário de celular vê em seu telefone.”

REFERÊNCIAS:

Critical Chipset Bugs Open Millions of Android Devices to Remote Spying (thehackernews.com)

https://corp.mediatek.com/product-security-bulletin/December-2021

https://www.qualcomm.com/company/product-security/bulletins/december-2021-bulletin