Qualcomm korjaa kriittistä virhettä Androidissa
Äskettäin havaittiin kriittinen siruvirhe Qualcommin Mobile Station Modem (MSM) -sirujärjestelmästä, joka toimii lähes kolmanneksessa maailman älypuhelimista, enimmäkseen korkealuokkaisista laitteista. Nyt haavoittuvuuden korjaus on suunnattu Android-laitteisiin.
Vian löysivät Check Point Researchin tutkijat. MSM auttaa suorittamaan esimerkiksi tekstiviestejä, ääntä ja teräväpiirtotallennusta, ja se löytyy ensisijaisesti LG:n, Samsungin, Xiaomin, Googlen ja OnePlusin korkealaatuisista laitteista. Puhelinvalmistajat voivat lisätä näiden sirujen toimintoja käsitelläkseen tehtäviä, kuten SIM-kortin lukituksen avauspyyntöjä.
Ongelman syy on se, että puskurin ylivuotoa voivat hyödyntää haitalliset sovellusasennukset, jotka voivat sitten istuttaa haitallista ja lähes havaitsematonta koodia laitteen MSM:ään, joka voi mahdollisesti vaikuttaa joihinkin laitteen tärkeimpiin toimintoihin.
"Tämä tarkoittaa, että hyökkääjä olisi voinut käyttää tätä haavoittuvuutta ruiskuttaakseen haitallista koodia modeemiin Androidista, jolloin hän pääsee käsiksi laitteen käyttäjän puheluhistoriaan ja tekstiviesteihin sekä mahdollisuuden kuunnella laitteen käyttäjän keskusteluja", tutkijat totesivat. "Hakkeri voi myös hyödyntää haavoittuvuutta avatakseen laitteen SIM-kortin lukituksen ja voittamalla siten palveluntarjoajien sille asettamat rajoitukset."
Check Point Researchin tiedottaja Ekram Ahmed kertoi Ars Technicalle, että Qualcomm on julkaissut korjaustiedoston ja paljastanut virheen kaikille asiakkaille, joita asia koskee. "Kokemuksemme mukaan näiden korjausten käyttöönotto vie aikaa, joten osa puhelimista saattaa silti olla alttiita uhille. Siksi päätimme olla jakamatta kaikkia teknisiä yksityiskohtia, koska se antaisi hakkereille etenemissuunnitelman hyväksikäytön organisoimiseksi."
Samoin Qualcomm julkaisi lausunnon, jonka mukaan "Vahvaa turvallisuutta ja yksityisyyttä tukevien teknologioiden tarjoaminen on Qualcommin prioriteetti. Kiitämme Check Pointin tietoturvatutkijoita alan standardien mukaisten koordinoitujen paljastamiskäytäntöjen käyttämisestä. Qualcomm Technologies on jo asettanut korjaukset OEM-valmistajien saataville joulukuussa 2020, ja kannustamme loppukäyttäjiä päivittämään laitteitaan sitä mukaa, kun korjaustiedostoja tulee saataville.
Siruvirhe, jota jäljitetään nimellä CVE-2020-11292, löydettiin käyttämällä prosessia, jota kutsutaan fuzzingiksi. Prosessi altistaa sirujärjestelmän epätavallisille syötteille, jotka sitten auttavat havaitsemaan laiteohjelmiston vikoja. Vaikka haavoittuvuuden vaikutukset ovat pelottavia, ne ovat myös antaneet tietoturvatutkijoille enemmän tietoa ja helpottavat tulevia turvatoimia ja havaitsemista.
Ars Technican kautta