聚焦源代碼安全，網羅國內外最新資訊！
編譯：代碼衛士團隊
數字化時代，軟件無處不在。軟件如同社會中的「虛擬人」，已經成為支撐社會正常運轉的最基本元素之一，軟件的安全性問題也正在成為當今社會的根本性、基礎性問題。
隨着軟件產業的快速發展，軟件供應鏈也越發複雜多元，複雜的軟件供應鏈會引入一系列的安全問題，導致信息系統的整體安全防護難度越來越大。近年來，針對軟件供應鏈的安全攻擊事件一直呈快速增長態勢，造成的危害也越來越嚴重。
為此，我們推出「供應鏈安全」欄目。本欄目匯聚供應鏈安全資訊，分析供應鏈安全風險，提供緩解建議，為供應鏈安全保駕護航。
註：以往發布的部分供應鏈安全相關內容，請見文末「推薦閱讀」部分。
高通和聯發科芯片的音頻解碼器中存在三個漏洞，可遭攻擊者遠程獲得對受影響移動設備媒體和音頻會話的訪問權限。
以色列網絡安全公司 Check Point 指出，只需發送特殊構造的音頻文件，這些漏洞即可被用於執行遠程代碼執行攻擊。研究人員指出，「RCE漏洞可導致惡意代碼執行、控制用戶多媒體數據等。另外，低權限安卓app可利用這些漏洞提升權限並獲得對媒體數據和用戶會話的訪問權限。」
這些漏洞位於最初由蘋果公司在2011年開發並開源的音頻編碼格式 Apple 無損音頻編解碼器 (Lossless Audio Codec)（或稱為 Apple Lossless）。該音頻編解碼器格式用於對數字音樂的無損數據壓縮。
之後，多家第三方廠商如高通和聯發科將蘋果公司提供的引用音頻編解碼實現作為自身音頻解碼器的基礎。
雖然蘋果公司一直都在修復並緩解其專有ALAC 版本中的缺陷，但其開源變體自2011年10月27日即11年之前上傳到 GitHub 後未收到一次更新。
Check Point 公司發現的這些漏洞就和這個移植的 ALAC 代碼有關，其中兩個位於聯發科處理器中，一個位於高通芯片集中：
CVE-2021-0674（CVSS 5.5，聯發科）：位於ALAC 解碼器中的輸入不當驗證漏洞，可在無需用戶交互的情況下導致信息泄露。
CVE-2021-0675（CVSS 7.8，聯發科）：位於ALAC 解碼器中因界外寫導致的本地提權漏洞。
CVE-2021-30351（CVSS 9.8，高通）：因在音樂回訪過程中傳遞的框架數量的驗證不當，導致界外內存訪問權限漏洞。
Check Point 在概念驗證中指出，這些漏洞可使攻擊者「竊取手機的攝像頭流。」收到這些漏洞報告後，這兩家芯片集廠商已修復這些漏洞。發現這些漏洞的研究人員指出，「這些漏洞易遭利用。攻擊者發送一首歌（媒體文件），當潛在受害者播放時可在權限媒體服務中注入代碼。攻擊者就能看到受害者手機上的所有內容。」
https://thehackernews.com/2022/04/critical-chipset-bug-opens-millions-of.html
題圖：Pixabay License
本文由奇安信編譯，不代表奇安信觀點。轉載請註明「轉自奇安信代碼衛士 https://codesafe.qianxin.com」。
奇安信代碼衛士 (codesafe)
國內首個專注於軟件開發安全的產品線。
覺得不錯，就點個「在看」 或 "贊」 吧~
留言列表