Бъг в Apple Lossless Audio Codec (ALAC) засяга две трети от устройствата с Android, продадени през 2021 г., оставяйки непокритите устройства уязвими за отдалечен контрол.

ALAC е аудио формат, разработен от Apple за използване в iTunes през 2004 г., осигуряващ компресиране на данни без загуба на качество. След като Apple пусна формата с отворен код през 2011 г., компаниите по целия свят го приеха. За съжаление, както посочва Check Point Research, докато Apple актуализира своята собствена версия на ALAC през годините, версията с отворен код не беше актуализирана с корекции на сигурността, тъй като беше предоставена през 2011 г. В резултат на това беше включена непоправена уязвимост в чипсети, произведени от Qualcomm и Mediatek.

Според Check Point Research както Mediatek, така и Qualcomm са включили компрометирания ALAC код в аудио декодери на своите чипове. Поради това хакерите могат да използват неправилно оформен аудио файл, за да извършат атака за дистанционно изпълнение на код (RCE). RCE се счита за най-опасния вид експлойт, тъй като не изисква физически достъп до устройство и може да се изпълнява дистанционно.

Използвайки неправилно оформения аудио файл, хакерите могат да изпълнят злонамерен код, да получат контрол върху медийните файлове на потребителя и да получат достъп до функцията за стрийминг на камерата. Уязвимостта може дори да се използва, за да даде на приложението за Android допълнителни привилегии, осигурявайки на хакера достъп до разговорите на потребителя.

Като се има предвид позицията на Mediatek и Qualcomm на пазара на мобилни чипове, Check Point Research вярва, че уязвимостта засяга две трети от всички телефони с Android, продадени през 2021 г. За щастие и двете компании издадоха пачове през декември същата година, които бяха изпратени надолу по веригата на производителите на устройства.

Независимо от това уязвимостта повдига сериозни въпроси относно мерките, които Qualcomm и Mediatek предприемат, за да гарантират сигурността на кода, който прилагат. Apple нямаше проблем с актуализирането на своя ALAC код за справяне с уязвимостите, така че защо Qualcomm и Mediatek не направиха същото? Защо двете компании разчитаха на остарял код, без да се опитват да гарантират, че е безопасен и актуален? Най-важното е, има ли други рамки, библиотеки или кодеци, които се използват с подобни уязвимости?

Въпреки че няма ясни отговори, да се надяваме, че сериозността на този епизод ще стимулира промени, насочени към запазване на безопасността на потребителите.

Снимка: Pikrepo

Виж още: Първите в света живи роботи вече могат да се възпроизвеждат. Време за паника? (ВИДЕО)