Codec de áudio feito pela Apple introduziu sérias vulnerabilidades em milhões de telefones Android
Um codec de áudio de código aberto desenvolvido pela Apple é afetado por sérias vulnerabilidades que foram enviadas para milhões de dispositivos Android, por alguns dos maiores fabricantes de chipsets móveis do mundo.
O Apple Lossless Audio Codec (ALAC) foi introduzido pela Apple em 2004 e, em 2011, a gigante da tecnologia decidiu tornar o ALAC open source. O código ALAC de código aberto foi escolhido por muitos outros fornecedores para dispositivos que não são da Apple.
A Apple continuou a melhorar a versão proprietária do codec, mas o código-fonte aberto nunca foi atualizado nos últimos 11 anos e parece que os fornecedores terceirizados que usam esse código não fizeram esforços para garantir sua segurança.
Pesquisadores da empresa de segurança cibernética Check Point descobriram que o código ALAC de código aberto é afetado por sérias vulnerabilidades, e pelo menos dois grandes fabricantes de chipsets móveis, Qualcomm e MediaTek, o usaram para seus decodificadores de áudio.
A Qualcomm e a MediaTek têm participações de mercado significativas e a Check Point acredita que milhões de smartphones em todo o mundo ficaram vulneráveis a ataques devido ao uso do codec ALAC.
A empresa de segurança estima que as falhas encontradas por seus pesquisadores referente as vulnerabilidades foram apelidadas de ALHACK e colocam em risco cerca de dois terços da privacidade dos usuários do Android.
As vulnerabilidades podem ser acionadas usando arquivos de áudio especialmente criados e podem levar à execução remota de código.
“O impacto de uma vulnerabilidade RCE pode variar desde a execução de malware até um invasor obter controle sobre os dados multimídia de um usuário, incluindo streaming da câmera de uma máquina comprometida”, explicou a Check Point em um post publicado na quinta-feira. “Além disso, um aplicativo Android sem privilégios pode usar essas vulnerabilidades para aumentar seus privilégios e obter acesso a dados de mídia e conversas de usuários.”
As vulnerabilidades do MediaTek, corrigidas em dezembro de 2021, são identificadas como CVE-2021-0675 e CVE-2021-0674 e receberam classificações de gravidade “alta” e “média”. A Qualcomm também lançou patches em dezembro de 2021. A falha da Qualcomm é rastreada como CVE-2021-30351 e recebeu uma classificação de gravidade “crítica”.
A Check Point planeja divulgar detalhes técnicos no próximo mês na conferência CanSecWest.
Este artigo é uma tradução de: https://www.securityweek.com/audio-codec-made-apple-introduced-serious-vulnerabilities-millions-android-phones (Autor: Eduard Kovacs)
