Galeotto Apple. Undici anni or sono. Quello il periodo nel quale Apple rilasciò un codice open source utilizzato per la decodifica audio. È stato modificato nel corso degli anni ma è ancora in uso. E sta causando due gravi falle che compromettono tutti gli utenti che utilizzano dispositivi Android.
La scoperta va ascritta a Check Point Research, la divisione Threat Intelligence di Check Point Software Technologies. Che fornisce informazioni leader sulle minacce informatiche ai clienti di Check Point Software e alla più ampia comunità di intelligence.
Il team di ricerca ha raccolto e analizzato tutti i dati, che vanno proprio nella direzione del codice open source del colosso di Cupertino. Secondo Check Point Research, sia Mediatek che Qualcomm hanno incluso il codice ALAC compromesso nei decoder audio dei loro chip. Per questo motivo, gli hacker potrebbero utilizzare un file audio non valido per ottenere un attacco di esecuzione di codice remoto (RCE). RCE è considerato il tipo di exploit più pericoloso poiché non richiede l’accesso fisico a un dispositivo e può essere eseguito in remoto.
La vulnerabilità influisce sui due terzi di tutti i telefoni Android venduti nel 2021
Utilizzando il file audio non valido, gli hacker potrebbero eseguire codice dannoso, perfino ottenere il controllo dei file multimediali di un utente e accedere alla funzionalità di streaming della telecamera.
La vulnerabilità potrebbe anche essere utilizzata per concedere privilegi aggiuntivi a un’app Android, fornendo all’hacker l’accesso alle conversazioni dell’utente. Data la posizione di Mediatek e Qualcomm nel mercato dei chip mobili, Check Point Research ritiene che la vulnerabilità influisca sui due terzi di tutti i telefoni Android venduti nel 2021. Fortunatamente, entrambe le società hanno emesso patch nel dicembre dello stesso anno, che sono state inviate ai produttori di dispositivi.
“I problemi di ALAC trovati dai nostri ricercatori potrebbero essere utilizzati da un utente malintenzionato per un attacco di esecuzione di codice remoto su un dispositivo mobile attraverso un file audio non valido“. Questa la spiegazione data da Check Point.
“Gli attacchi RCE consentono a un utente malintenzionato di eseguire in remoto codice dannoso su un computer – continua la società di sicurezza – l’impatto di una vulnerabilità RCE può variare dall’esecuzione di malware all’acquisizione del controllo da parte di un utente malintenzionato sui dati multimediali di un utente, incluso lo streaming dalla telecamera di una macchina compromessa“.
Check Point ha affermato che fornirà i dettagli tecnici della vulnerabilità il mese prossimo alla conferenza CanSecWest a Vancouver.