Check Point Research (CPR) encontró una serie de vulnerabilidades en los decodificadores de audio de Qualcomm y MediaTek, fabricantes de chips, que podrían haberse utilizado para la ejecución remota de código malicioso en dos tercios de los dispositivos móviles Android a nivel mundial.
“Si no se hubieran parcheado, podría haber permitido el acceso remoto a las conversaciones de audio y los archivos multimedia. El código expuesto se basa en uno compartido por Apple hace 11 años”, informó Check Point Research en un comunicado.
Eusebio Nieva, director técnico de Check Point Software para España y Portugal, explicó que “un ciberdelincuente podría haber enviado una canción (archivo multimedia) y, si una víctima potencial la reprodujera, se inyecta un código malicioso en el servicio multimedia. Además, el atacante podría haber accedido a lo que el usuario del dispositivo móvil ve en su teléfono. En nuestra prueba de concepto, pudimos robar el streaming de la cámara del teléfono. ¿Cuál es la información más sensible de los teléfonos? El audio y los vídeos. Un atacante podría robarlos a través de estas vulnerabilidades”.
Las vulnerabilidades se encontraron en el Apple Lossless Audio Codec (ALAC), también conocido como Apple Lossless.
ALAC es un formato de codificación de audio desarrollado por Apple que se lanzó en 2004 para la compresión de datos de la música en formato digital.
A finales de 2011, Apple hizo que el códec fuera de código abierto y desde entonces, dicho formato se ha integrado en muchos dispositivos y programas de reproducción de audio que no son de Apple, como los smartphones Android y los reproductores y convertidores multimedia de Linux y Windows.
Desde entonces, Apple ha actualizado varias veces la versión propietaria del decodificador, corrigiendo y parcheando los problemas de seguridad, pero el código compartido no ha sido parcheado desde 2011.
“Los investigadores descubrieron que Qualcomm y MediaTek usaron el código ALAC vulnerable en sus decodificadores de audio”.
Check Point Research informó a MediaTek y Qualcomm sobre la situación y ha colaborado estrechamente con ambos proveedores para asegurarse de que estas vulnerabilidades se solucionen.
MediaTek asignó CVE-2021-0674 y CVE-2021-0675 a los problemas de ALAC y ya han sido corregidas y publicadas en el boletín de seguridad de MediaTek de diciembre de 2021.
Qualcomm publicó el parche para CVE-2021-30351 en su boletín de seguridad de diciembre de 2021. Los investigadores han facilitado el tiempo necesario para que los usuarios aplicaran los parches.
