Le point de contrôle dévoilé récemment à travers un article de blog a identifié une vulnérabilité dans décodeurs MediaTek (CVE-2021-0674, CVE-2021-0675) et Qualcomm (CVE-2021-30351) pour le format de compression audio Apple Lossless Audio Codec (ALAC).
Il est mentionné que le problème permet au code de l'attaquant de s'exécuter tout en traitant des données spécialement formatées au format ALAC. Le danger de la vulnérabilité est aggravé par le fait qu'elle affecte les appareils exécutant la plate-forme Android, équipés de puces MediaTek et Qualcomm.
À la suite de l'attaque, un attaquant peut orchestrer l'exécution d'un malware sur un appareil qui a accès aux médias et aux données de communication de l'utilisateur, y compris les données de la caméra.
Selon une estimation grossière, 2/3 de tous les utilisateurs de téléphone intelligent basé sur une plate-forme Android sont concernés par le problème. Par exemple, aux États-Unis, la part totale de tous les smartphones Android vendus au quatrième trimestre 2021 livrés avec des puces MediaTek et Qualcomm était de 95,1 % (48,1 % : MediaTek, 47 % : Qualcomm).
Les problèmes ALAC découverts par nos chercheurs pourraient être utilisés par un attaquant pour une attaque d'exécution de code à distance (RCE) sur un appareil mobile via un fichier audio mal formé. Les attaques RCE permettent à un attaquant d'exécuter à distance un code malveillant sur un ordinateur. L'impact d'une vulnérabilité RCE peut aller de l'exécution de logiciels malveillants à un attaquant prenant le contrôle des données multimédias d'un utilisateur, y compris la diffusion en continu à partir de la caméra d'une machine compromise.
De plus, une application Android non privilégiée pourrait utiliser ces vulnérabilités pour élever ses privilèges et accéder aux conversations des utilisateurs et aux données multimédias.
Les Les vulnérabilités RCE permettent à un attaquant d'exécuter du code arbitraire sur un appareil distant. Un attaquant peut atteindre RCE de différentes manières, notamment :
- Attaques par injection : de nombreux types d'applications différents, tels que les requêtes SQL, utilisent des données fournies par l'utilisateur comme entrée d'une commande. Dans une attaque par injection, l'attaquant fournit délibérément une entrée malformée qui fait qu'une partie de son entrée est interprétée comme faisant partie de la commande. Cela permet à un attaquant de façonner des commandes exécutées sur le système vulnérable ou d'y exécuter du code arbitraire.
- Attaques de désérialisation : La sérialisation est souvent utilisée par les applications pour combiner plusieurs éléments de données en une seule chaîne afin de faciliter la transmission ou la communication. Une entrée utilisateur spécialement formatée dans les données sérialisées peut être interprétée par le programme de désérialisation comme un code exécutable.
- Ecrire hors limites : Les applications allouent régulièrement des blocs de mémoire de taille fixe pour stocker des données, y compris des données fournies par l'utilisateur. Si cette allocation de mémoire est effectuée de manière incorrecte, un attaquant peut concevoir une entrée qui écrit en dehors du tampon alloué.
Les détails de l'exploitation de la vulnérabilité n'ont pas encore été divulgués, mais il est signalé que des correctifs ont été apportés aux composants MediaTek et Qualcomm pour la plate-forme Android en décembre 2021. Dans le rapport de décembre sur les vulnérabilités de la plate-forme Android, les problèmes sont marqués comme des vulnérabilités critiques dans les composants fermés pour les puces Qualcomm. La vulnérabilité des composants MediaTek n'est pas mentionnée dans les rapports.
Check Point Research a divulgué les informations de manière responsable à MediaTek et Qualcomm et a travaillé en étroite collaboration avec les deux fournisseurs pour s'assurer que ces vulnérabilités étaient corrigées.
La vulnérabilité est intéressante par ses racines. En 2011, Apple a publié les codes sources du codec ALAC sous la licence Apache 2.0, qui permet la compression des données audio sans perte de qualité, et a rendu possible l'utilisation de tous les brevets liés au codec. Le code a été publié, mais il n'a pas été maintenu et n'a pas changé au cours des 11 dernières années.
Dans le même temps, Apple a continué à prendre en charge séparément l'implémentation utilisée sur ses plates-formes, y compris la correction des bogues et des vulnérabilités qu'elle contient. MediaTek et Qualcomm ont basé leurs implémentations de codec ALAC sur le code open source original d'Apple, mais n'ont pas résolu les vulnérabilités traitées par l'implémentation d'Apple dans leurs implémentations.
Il n'y a pas encore d'informations sur la manifestation d'une vulnérabilité dans le code d'autres produits qui utilisent également le code ALAC obsolète. Par exemple, le format ALAC est pris en charge depuis FFmpeg 1.1, mais le code d'implémentation du décodeur est activement maintenu.
Enfin si vous souhaitez en savoir plus, vous pouvez vérifier les détails dans le lien suivant.