Vulnerabilidade no formato de áudio ALAC comprometeu a segurança de dois em cada três smartphones Android

A empresa de segurança cibernética Check Point publicou um relatório no qual descreve a vulnerabilidade do formato de áudio ALAC (Apple Lossless Audio Codec) – por causa disso, dois terços dos smartphones Android vendidos em 2021 corriam o risco de serem hackeados. Um ataque remoto ao dispositivo poderia ser realizado enviando um arquivo de áudio contendo código malicioso para ele, felizmente, o Google já lançou uma atualização da plataforma que fecha essa vulnerabilidade.

Fonte da imagem: hardahars / pixabay.com

Os especialistas da Check Point descobriram uma vulnerabilidade no ano passado e ela estava relacionada à versão aberta do ALAC. A Apple melhorou regularmente a versão proprietária desse formato, mas sua versão de código aberto não mudou desde 2011. Como resultado, a solução foi preterida e uma vulnerabilidade foi descoberta nela. A rigor, não foi o formato ALAC em si que ficou vulnerável, mas sua implementação nos decodificadores de áudio da Qualcomm e MediaTek, os dois maiores fabricantes mundiais de chipsets móveis, usados ​​em mais da metade de todos os dispositivos. Em particular, foram identificados problemas em dispositivos baseados nos principais processadores Qualcomm Snapdragon 888 e 865.

A vulnerabilidade permitiu que um invasor em potencial realizasse um ataque cibernético no dispositivo da vítima enviando um arquivo de áudio infectado com código malicioso explorando a vulnerabilidade. Depois de executar o código, o hacker pode instalar outro malware no dispositivo ou obter acesso à câmera do dispositivo. O acesso à pasta com arquivos de mídia também foi aberto.

A Qualcomm e a MediaTek foram prontamente notificadas sobre o problema e lançaram patches para seus softwares para corrigir a vulnerabilidade. No caso da Qualcomm, o patch foi enviado aos fabricantes de dispositivos em outubro do ano passado. Os especialistas da Check Point não conseguiram encontrar evidências de que o erro foi explorado por cibercriminosos na prática. O problema não afeta os usuários de dispositivos que instalaram a versão de atualização de segurança do Android “2021-12-05” ou posterior.

A Qualcomm registrou a vulnerabilidade como CVE-2021-30351, enquanto a MediaTek registrou CVE-2021-0674 e CVE-2021-0675.