Qualcomm parandab Androidis kriitilist viga
Hiljuti avastati kriitiline kiibiviga Qualcommi mobiilijaama modemis (MSM), kiipide süsteemis, mis töötab peaaegu kolmandikul maailma nutitelefonidest, enamasti kõrgema klassi seadmetes. Nüüd on haavatavuse parandamine suunatud Android-seadmetele.
Vea avastasid Check Point Researchi teadlased. MSM aitab käitada selliseid asju nagu SMS, hääl ja kõrglahutusega salvestamine ning seda leidub peamiselt LG, Samsungi, Xiaomi, Google’i ja OnePlusi kõrgema klassi seadmetes. Telefonitootjad saavad nende kiipide funktsioone täiendada, et täita selliseid toiminguid nagu SIM-kaardi avamistaotlused.
Probleemi juur on selles, et puhvri ületäitumist saavad ära kasutada pahatahtlikud rakenduste installid, mis võivad seejärel seadme MSM-i sisestada pahatahtlikku ja peaaegu tuvastamatut koodi, mis võib mõjutada seadme mõnda kõige olulisemat funktsiooni.
"See tähendab, et ründaja võis seda haavatavust kasutada Androidi modemisse pahatahtliku koodi süstimiseks, andes neile juurdepääsu seadme kasutaja kõneajaloole ja SMS-idele, samuti võimaluse kuulata seadme kasutaja vestlusi," märkisid teadlased. "Häkker võib haavatavust ära kasutada ka seadme SIM-kaardi avamiseks, ületades sellega teenusepakkujate seatud piirangud."
Check Point Researchi pressiesindaja Ekram Ahmed ütles Ars Technicale, et Qualcomm on välja andnud plaastri ja avaldanud vea kõigile mõjutatud klientidele. "Meie kogemuse põhjal võtab nende paranduste rakendamine aega, nii et mõned telefonid võivad siiski ohustada. Seetõttu otsustasime mitte jagada kõiki tehnilisi üksikasju, kuna see annaks häkkeritele juhised ärakasutamise korraldamiseks.
Samuti avaldas Qualcomm avalduse, milles öeldakse: "Tugevat turvalisust ja privaatsust toetavate tehnoloogiate pakkumine on Qualcommi prioriteet. Kiidame Check Pointi turbeteadlasi tööstusstandarditega kooskõlastatud avalikustamistavade kasutamise eest. Qualcomm Technologies on juba teinud parandused originaalseadmete tootjatele kättesaadavaks 2020. aasta detsembris ja me julgustame lõppkasutajaid oma seadmeid värskendama, kui paigad muutuvad kättesaadavaks.
Kiibi viga, mida jälgitakse kui CVE-2020-11292, avastati fuzzing-nimelise protsessi abil. Protsess paljastab kiibisüsteemi ebaharilikele sisenditele, mis aitavad tuvastada püsivara vigu. Kuigi haavatavuse tagajärjed on hirmutavad, on need andnud ka turbeuurijatele rohkem teavet ning muudavad tulevased turvameetmed ja tuvastamise lihtsamaks.
Ars Technica kaudu