2022年04月26日
Check Point Research (CPR) 在兩家最大的移動(dòng)芯片制造商 - 高通和聯(lián)發(fā)科的音頻解碼器中發(fā)現(xiàn)了漏洞。如果不進(jìn)行修復(fù)，上述漏洞可能導(dǎo)致攻擊者趁機(jī)遠(yuǎn)程訪問(wèn)受攻擊者的媒體和音頻對(duì)話。CPR 估計(jì)，如不及時(shí)修復(fù)，全球三分之二的手機(jī)將會(huì)受到波及。
攻擊者可能利用漏洞通過(guò)格式錯(cuò)誤的音頻文件對(duì)移動(dòng)設(shè)備發(fā)起遠(yuǎn)程代碼執(zhí)行攻擊 (RCE)；
RCE 漏洞的影響后果很廣，從惡意軟件執(zhí)行到攻擊者獲得對(duì)用戶(hù)多媒體數(shù)據(jù)的控制等不一而足，包括從受攻擊機(jī)器的攝像頭進(jìn)行流傳輸；
此外，非特權(quán) Android 應(yīng)用可以使用這些漏洞來(lái)升級(jí)其權(quán)限，獲得媒體數(shù)據(jù)和用戶(hù)對(duì)話的訪問(wèn)權(quán)限；
CPR 負(fù)責(zé)任地向高通和聯(lián)發(fā)科披露了調(diào)查結(jié)果，這兩家公司隨后發(fā)布了修復(fù)程序。
近日，Check Point Research (CPR) 發(fā)現(xiàn)了一組安全漏洞，它們可用于在全球三分之二的移動(dòng)設(shè)備上實(shí)施惡意遠(yuǎn)程代碼執(zhí)行。這些漏洞影響了搭載聯(lián)發(fā)科和高通（兩家最大的移動(dòng)芯片組制造商）芯片的 Android 智能手機(jī)。
漏洞源自聯(lián)發(fā)科和高通音頻解碼器
經(jīng)Check Point安全專(zhuān)家研究發(fā)現(xiàn)，上述漏洞均發(fā)生于于 Apple 無(wú)損音頻編解碼器 (ALAC)，也稱(chēng)為 Apple 無(wú)損。ALAC 是一種由 Apple Inc.開(kāi)發(fā)的音頻編碼格式，于 2004 年首次推出，用于數(shù)字音樂(lè)的無(wú)損數(shù)據(jù)壓縮。2011 年底，Apple 將編解碼器開(kāi)源。自此，ALAC 格式被嵌入到許多非 Apple 音頻播放設(shè)備和程序中，包括 Android 智能手機(jī)、Linux 和 Windows 媒體播放器及轉(zhuǎn)換器。此后，Apple 多次更新了解碼器的專(zhuān)有版本，修復(fù)并修補(bǔ)安全漏洞，但自 2011 年以來(lái)，共享代碼一直未修補(bǔ)。CPR 發(fā)現(xiàn)，高通和聯(lián)發(fā)科將易受攻擊的 ALAC 代碼移植到其音頻解碼器中。
信息披露
Check Point Research 已負(fù)責(zé)任地向聯(lián)發(fā)科和高通披露了相關(guān)信息，并與這兩家廠商密切合作，確保這些漏洞得以盡快修復(fù)。聯(lián)發(fā)科將漏洞命名為 CVE-2021-0674 和 CVE-2021-0675。目前這些漏洞已修復(fù)，并發(fā)布在 聯(lián)發(fā)科安全公告中。高通也在其安全公告中發(fā)布了 CVE-2021-30351 的補(bǔ)丁。CPR 為用戶(hù)提供了補(bǔ)丁應(yīng)用時(shí)間。
安全建議
Check Point Research 反向工程和安全研究事業(yè)部 Slava Makkaveev表示：“我們于21年底發(fā)現(xiàn)了一組漏洞，它們可用于在全球三分之二的移動(dòng)設(shè)備上實(shí)施遠(yuǎn)程執(zhí)行并進(jìn)行權(quán)限升級(jí)。這些漏洞很容易被利用。黑客可能發(fā)送一首歌曲（或媒體文件）實(shí)施攻擊，當(dāng)潛在受害者播放時(shí)，它便會(huì)將代碼注入特權(quán)媒體服務(wù)中。攻擊者可以看到手機(jī)用戶(hù)在其手機(jī)上查看的信息。在我們的驗(yàn)證中，通過(guò)這種方法能夠竊取手機(jī)的攝像頭視頻流。近年來(lái)隨著手機(jī)功能不斷強(qiáng)大，我們認(rèn)為用戶(hù)手機(jī)中最敏感的信息就是包括音頻和視頻在內(nèi)的媒體文件。攻擊者可通過(guò)這些漏洞進(jìn)行竊取，從而對(duì)用戶(hù)造成無(wú)法挽回的損失。因此，Check Point建議手機(jī)用戶(hù)不要輕易打開(kāi)陌生人發(fā)送的媒體文件，并通過(guò)Android每月發(fā)布的更新及時(shí)為手機(jī)打補(bǔ)丁，從而在源頭上防范黑客攻擊”
CPR 目前尚未透露其研究結(jié)果的技術(shù)細(xì)節(jié)。這些細(xì)節(jié)將在 2022 年 5 月召開(kāi)的 CanSecWest 會(huì)議上公布。