Falhas de seguranças em dois dos maiores fabricantes de chips do mundo colocam em risco dois terços de todos os utilizadores Android

• Qualcomm e MediaTek utilizavam nos seus descodificadores de áudio código ALAC vulnerável
• Vulnerabilidades permitiriam um atacante aceder remotamente a ficheiros multimédia do utilizador
• A Check Point Research partilhou as suas conclusões com as fabricantes, que entretanto já emitiram as devidas patches

A Check Point Research (CPR), área de Threat Intelligence da Check Point® Software Technologies Ltd. (NASDAQ: CHKP), fornecedor líder de soluções de cibersegurança a nível global, identificou vulnerabilidades nos descodificadores de áudio utilizados pela Qualcomm e MediaTek, duas das maiores fabricantes de chips do mundo. Se não fossem corrigidas, as falhas de segurança permitiriam um atacante aceder remotamente a ficheiros multimédia e conversações via áudio. A CPR estima que mais de dois terços dos telemóveis de todo o mundo estiveram vulneráveis em algum momento. Segundo a investigação, o código vulnerável tem por base o código partilhado pela Apple há 11 anos.

Descodificadores de áudio utilizados por MediaTek e Qualcomm apresentavam vulnerabilidades

As vulnerabilidades foram identificadas, concretamente, no Apple Lossless Audio Codec (ALAC), também conhecido por Apple Lossless. O ALAC é um formato de codificação de áudio desenvolvido pela Apple Inc. e apresentado pela primeira vez em 2004 para compressão de informação áudio digital sem perdas. Em 2011, a Apple colocou o software em código aberto e o formato ALAC foi incorporado em muitos dispositivos e programas de reprodução áudio não-Apple, incluindo smartphones Android, bem como leitores e conversores media Windows e Linux. Desde então, a Apple tem vindo a atualizar várias vezes a versão proprietária do descodificador, corrigindo as falhas de segurança existentes. Contudo, o código partilhado não é corrigido desde 2011. A CPR descobriu que a Qualcomm e a MediaTek utilizavam nos seus descodificadores de áudio código ALAC vulnerável.

A CPR partilhou a informação recolhida com a MediaTek e Qualcomm, trabalhando de perto com ambos os fornecedores no sentido de corrigir estas vulnerabilidades. A MediaTek atribuiu CVE-2021-0674 e CVE-2021-0675 aos problemas com a codificação ALAC. Estas vulnerabilidades foram já corrigidas e divulgadas em dezembro de 2021 no MediaTek Security Bulletin. Também a Qualcomm lançou a patch para a CVE-2021-30351 em dezembro de 2021 no Qualcomm Security Bulletin. A CPR permitiu que os utilizadores implementassem com tempo as devidas patches.

“Descobrimos um conjunto de vulnerabilidades que poderiam ser utilizadas para execução remota e concessão de privilégios em dois terços dos dispositivos móveis de todo o mundo. E as vulnerabilidades eram de fácil exploração. Um cibercriminoso poderia enviar uma música (qualquer ficheiro multimédia) e assim que reproduzido pela potencial vítima, poderia ser injetado código malicioso no serviço de reprodução. O cibercriminoso poderia ver o que o utilizador via,” começa por dizer Slava Makkaveev, Reverse Engineering & Security Research, at Check Point Research. “Na nossa prova de conceito, fomos capazes de roubar o stream de câmara do telemóvel. Qual é a informação mais sensível que podemos ter nos nossos telemóveis? Penso que são os ficheiros multimédia: áudio e vídeos. Um atacante poderia roubá-los através destas vulnerabilidades. O descodificador vulnerável baseia-se no código partilhado pela Apple há 11 anos,” termina o responsável.

Para proteção dos utilizadores, a CPR recomenda a atualização regular de sistemas operativos, uma vez que todos os meses a Google lança atualizações de segurança.

Nota: Desta vez, a CPR não partilhará detalhes técnicos das suas conclusões. Estes serão apresentados durante a conferência CanSecWest em maio de 2022.