Check Point Research (CPR) ha identificado una serie de vulnerabilidades en los descodificadores de audio de Qualcomm y MediaTek, los dos mayores fabricantes de chips, que podrían haberse utilizado para la ejecución remota de código malicioso en dos tercios de los dispositivos móviles a nivel mundial. Si no se hubieran parcheado, podría haber permitido el acceso remoto a las conversaciones de audio y los archivos multimedia. El código expuesto se basa en uno compartido por Apple hace 11 años.
En concreto, las vulnerabilidades se encontraron en el Apple Lossless Audio Codec (ALAC), también conocido como Apple Lossless. ALAC es un formato de codificación de audio desarrollado por Apple Inc. que se lanzó en 2004 para la compresión de datos de la música en formato digital. A finales de 2011, Apple hizo que el códec fuera de código abierto. Desde entonces, este formato se ha integrado en muchos dispositivos y programas de reproducción de audio que no son de Apple, como los smartphones Android y los reproductores y convertidores multimedia de Linux y Windows. Desde entonces, Apple ha actualizado varias veces la versión propietaria del decodificador, corrigiendo y parcheando los problemas de seguridad, pero el código compartido no ha sido parcheado desde 2011. Los investigadores descubrieron que Qualcomm y MediaTek usaron el código ALAC vulnerable en sus decodificadores de audio.
Check Point Research ha comunicado esta información a MediaTek y Qualcomm y ha colaborado estrechamente con ambos proveedores para asegurarse de que estas vulnerabilidades se solucionen. MediaTek asignó CVE-2021-0674 y CVE-2021-0675 a los problemas de ALAC y ya han sido corregidas y publicadas en el boletín de seguridad de MediaTek de diciembre de 2021. Qualcomm publicó el parche para CVE-2021-30351 en su boletín de seguridad de diciembre de 2021. Los investigadores han facilitado el tiempo necesario para que los usuarios aplicaran los parches.
Check Point Research no ha compartido los detalles técnicos de los resultados de su investigación por ahora. Esos detalles se presentarán durante la conferencia CanSecWest en mayo de 2022.
Deja un comentario