Prozessoren und LTE-Modems: Qualcomm startet begrenztes Bug-Bounty-Programm

In Android-Security-Updates finden sich häufig Schwachstellen in Qualcomm-Produkten. Das Unternehmen will die Security mit einem neuen Bug-Bounty-Programm verbessern - hat jedoch einige Einschränkungen.

Artikel veröffentlicht am ,
Qualcomm will Forscher animieren, Sicherheitslücken zu melden.
Qualcomm will Forscher animieren, Sicherheitslücken zu melden. (Bild: Marc Sauter/Golem.de)

Der Chiphersteller Qualcomm hat in Zusammenarbeit mit Hacker One ein Bug-Bounty-Programm angekündigt. Sicherheitsforscher sollen bis zu 15.000 US-Dollar bekommen, wenn sie Schwachstellen an das Unternehmen melden. Die Schwachstellen können sowohl in SoCs als auch in Modems des Herstellers gesucht werden.

Stellenmarkt
  1. IT Systemadministrator - Kommunikationssysteme (gn)
    ESG Elektroniksystem- und Logistik-GmbH, Fürstenfeldbruck
  2. SAP Logistik-Berater (m/w/x)
    über duerenhoff GmbH, Raum Bielefeld
Detailsuche

Bei den SoCs werden die Snapdragon-Prozessoren mit den Versionsnummern 400, 615, 801, 805 808, 810, 820 und 821 unterstützt, bei den Modems kann in den Modellen X5, X7, X12 und X16 nach Problemen gesucht werden. Die gefundenen Schwachstellen müssen Angreifer in die Lage versetzen, Code auszuführen - einfache Bugs reichen also nicht aus. Kritische Lücken im Modem bringen bis zu 15.000 US-Dollar, kritische Probleme im Bootloader 9.000 US-Dollar.

Softwareseitig werden die Firmware von WLAN und Bluetooth-Geräten, von Qualcomm entwickelte Programme mit privilegiertem Zugang im Userspace und Qualcomms Secure Execution Environment (QSEE) oder die Trustzone berücksichtigt.

Weite Verbreitung der Prozessoren

Die Snapdragon-Prozessoren haben eine enorm weite Verbreitung bei aktuellen Smartphones. Schaut man sich Googles Security Bulletins für Android aus den vergangenen Monaten an, werden regelmäßig Schwachstellen in den Qualcomm-Treibern gefunden. Besonders prominent wurden Schwachstellen in Qualcomm-Komponenten bei den Quadrooter-Sicherheitslücken. Damals waren rund 900 Millionen Geräte betroffen.

Golem Akademie
  1. Terraform mit AWS
    14.-15. Dezember 2021, online
  2. Elastic Stack Fundamentals - Elasticsearch, Logstash, Kibana, Beats
    26.-28. Oktober 2021, online
  3. PostgreSQL Fundamentals
    6.-9. Dezember 2021, online
Weitere IT-Trainings

Eine relevante Einschränkung des Programms betrifft die verwendeten Kernel-Versionen, unterstützt werden nur Versionen ab 3.14. In der Redaktion fanden wir auf Anhieb mehrere nicht sonderlich alte Android-Geräte, die zwar einen der unterstützen Prozessoren nutzen, aber mit Kernel-Versionen vor 3.14 laufen und somit außerhalb des Programms liegen würden.

Ein Hintergrund zu Hacker One findet sich in diesem Artikel.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Mobiles Betriebssystem
iOS 15 mit Focus, OCR und schickem Facetime

Apple hat iOS 15 für iPhones und den iPod Touch vorgestellt. Radikale Neuerungen sind nicht dabei, dafür aber einige interessante Funktionen.

Mobiles Betriebssystem: iOS 15 mit Focus, OCR und schickem Facetime
Artikel
  1. Windows 11: Geplante Obsoleszenz ist schlecht, Microsoft!
    Windows 11
    Geplante Obsoleszenz ist schlecht, Microsoft!

    Kunden ärgern sich darüber, dass ihre vier Jahre alten Prozessoren bereits kein Windows 11 mehr unterstützen. Zu Recht.
    Ein IMHO von Oliver Nickel

  2. Apple Watch: watchOS 8 mit Achtsamkeits-Funktion und Porträt-Zifferblatt
    Apple Watch
    watchOS 8 mit Achtsamkeits-Funktion und Porträt-Zifferblatt

    Apple hat für die Apple Watch mit watchOS 8 ein neues Betriebssystem vorgestellt, das neue Zugriffs-, Konnektivitäts- und Achtsamkeitsfunktionen auf die Smartwatch bringt.

  3. Diablo 2 Resurrected: Entwickler äußern sich zu Blizzard-Boykott
    Diablo 2 Resurrected
    Entwickler äußern sich zu Blizzard-Boykott

    Für viele Spieler wäre Diablo 2 Resurrected ein Pflichtkauf. Blizzard soll aber nicht unterstützt werden. Das sagen Entwickler zum Dilemma.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • MM-Prospekt (u. a. Asus Gaming-Notebook 17" RTX 3050 1.099€) • PCGH-PC mit Ryzen 5 3600 & RTX 3060 999€ • Samsung 970 Evo Plus 1TB 99€ • Saturn Hits 2021 (u. a. Philips 55" OLED 120Hz 1.849€) • Corsair RGB 16GB Kit 3600MHz 87,90€ • Dualsense Schwarz + Deathloop 99,99€ [Werbung]
    •  /