Falhas de segurança atingem os maiores fabricantes globais de chips colocando em risco dois terços de todos os usuários Android
- Crédito de Imagens:Divulgação - Escrito ou enviado por Juliana Vercelli
- SEGS.com.br - Categoria: Info & Ti
A Check Point Research (CPR), divisão de Inteligência em Ameaças da Check Point Software Technologies, identificou vulnerabilidades nos decodificadores de áudio utilizados pela Qualcomm e MediaTek, dois dos maiores fabricantes de chips do mundo. Se não fossem corrigidas, as falhas de segurança permitiriam a um atacante acessar remotamente arquivos multimídia e conversas via áudio. A CPR estima que mais de dois terços dos smartphones de todo o mundo estiveram vulneráveis em algum momento. Segundo a investigação, o código vulnerável tem por base o código compartilhado pela Apple há 11 anos.
Decodificadores de áudio utilizados por MediaTek e Qualcomm apresentavam vulnerabilidades
As vulnerabilidades foram identificadas, concretamente, no Apple Lossless Audio Codec (ALAC), também conhecido por Apple Lossless. O ALAC é um formato de codificação de áudio desenvolvido pela Apple Inc. e apresentado pela primeira vez em 2004 para compressão de informação de áudio digital sem perdas. Em 2011, a Apple colocou o software em código aberto e o formato ALAC foi incorporado em muitos dispositivos e programas de reprodução de áudio não-Apple, incluindo smartphones Android, bem como leitores e conversores de mídia Windows e Linux.
Desde então, a Apple tem atualizado várias vezes a versão proprietária do decodificador, corrigindo as falhas de segurança existentes. Contudo, o código compartilhado não é corrigido desde 2011. A CPR descobriu que a Qualcomm e a MediaTek utilizavam em seus decodificadores de áudio o código ALAC vulnerável.
A CPR compartilhou a informação obtida com a MediaTek e Qualcomm, trabalhando próxima com ambos os fornecedores no sentido de corrigir essas vulnerabilidades, contribuindo para que os usuários implementassem em tempo as devidas correções. A MediaTek atribuiu as vulnerabilidades CVE-2021-0674 e CVE-2021-0675 aos problemas com a codificação ALAC. Essas vulnerabilidades já foram corrigidas e divulgadas em dezembro de 2021 no MediaTek Security Bulletin. Também a Qualcomm lançou o patch para a CVE-2021-30351 em dezembro de 2021 no Qualcomm Security Bulletin.
“Descobrimos um conjunto de vulnerabilidades que poderiam ser utilizadas para execução remota e concessão de privilégios em dois terços dos dispositivos móveis de todo o mundo. E as vulnerabilidades eram de fácil exploração. Um cibercriminoso poderia enviar uma música (qualquer arquivo multimídia) e, assim que reproduzido pela potencial vítima, poderia ter injetado código malicioso no serviço de reprodução. O cibercriminoso poderia ver o que o usuário visualizava”, diz Slava Makkaveev, pesquisador e especialista em Engenharia Reversa e Pesquisa de Segurança na divisão Check Point Research. “Em nossa prova de conceito, fomos capazes de roubar o stream de câmera do smartphone. Qual é a informação mais sensível que podemos ter em nossos dispositivos móveis? Penso que são os arquivos multimídia: áudio e vídeos. Um atacante poderia roubá-los por meio dessas vulnerabilidades”, informa Makkaveev.
Para proteção dos usuários, os pesquisadores da CPR recomendam a atualização regular de sistemas operacionais, uma vez que todos os meses o Google lança atualizações de segurança no Android.
Compartilhe:: Participe do GRUPO SEGS - PORTAL NACIONAL no FACEBOOK...:
https://www.facebook.com/groups/portalnacional/
<::::::::::::::::::::>
IMPORTANTE.: Voce pode replicar este artigo. desde que respeite a Autoria integralmente e a Fonte... www.segs.com.br
<::::::::::::::::::::>
No Segs, sempre todos tem seu direito de resposta, basta nos contatar e sera atendido. - Importante sobre Autoria ou Fonte..: - O Segs atua como intermediario na divulgacao de resumos de noticias (Clipping), atraves de materias, artigos, entrevistas e opinioes. - O conteudo aqui divulgado de forma gratuita, decorrem de informacoes advindas das fontes mencionadas, jamais cabera a responsabilidade pelo seu conteudo ao Segs, tudo que e divulgado e de exclusiva responsabilidade do autor e ou da fonte redatora. - "Acredito que a palavra existe para ser usada em favor do bem. E a inteligencia para nos permitir interpretar os fatos, sem paixao". (Autoria de Lucio Araujo da Cunha) - O Segs, jamais assumira responsabilidade pelo teor, exatidao ou veracidade do conteudo do material divulgado. pois trata-se de uma opiniao exclusiva do autor ou fonte mencionada. - Em caso de controversia, as partes elegem o Foro da Comarca de Santos-SP-Brasil, local oficial da empresa proprietaria do Segs e desde ja renunciam expressamente qualquer outro Foro, por mais privilegiado que seja. O Segs trata-se de uma Ferramenta automatizada e controlada por IP. - "Leia e use esta ferramenta, somente se concordar com todos os TERMOS E CONDICOES DE USO".
<::::::::::::::::::::>