Sicherheitslücke: Apple-Codec sorgt für Lücke in Android-Smartphones

Mit präparierten Audiodateien haben sich etliche Android-Smartphones mit Qualcomm- oder Mediatek-Chip hacken lassen.

Artikel veröffentlicht am ,
Ein Apple-Codec in Android
Ein Apple-Codec in Android (Bild: noname_04/Pixabay)

Über eine Sicherheitslücke konnte Schadcode in vielen Smartphones mit Qualcomm- oder Mediatek-SoCs ausgeführt werden. Konkret betroffen war deren Implementierung des Apple Lossless Audio Codec (ALAC), einem Decoder für das verlustfreie ALAC-Format von Apple. Entdeckt wurde die Sicherheitslücke von der Sicherheitsfirma Checkpoint, die sie Alhack nennt.

"Die von den Forschern gefundenen ALAC-Probleme konnten von einem Angreifer für einen Remote-Code-Execution-Angriff (RCE) auf einem mobilen Gerät über eine fehlerhafte Audiodatei genutzt werden", erklärte Checkpoint. Auch Android-Apps hätten über die Sicherheitslücke ihre Rechte ausweiten können.

"Die Schwachstellen waren leicht ausnutzbar. Ein Hacker hätte ein Lied (oder irgendeine eine Mediendatei) senden und beim Abspielen durch ein Opfer einen Code in den privilegierten Mediendienst injizieren können", sagte Slava Makkaveev, Reverse Engineering & Security Researcher bei Checkpoint. In einem Proof of Concept habe man auf den Videostream der Kamera zugreifen können.

Nachdem Checkpoint Mediatek und Qualcomm über die Sicherheitslücken (CVE-2021-0674, CVE-2021-0675, CVE-2021-30351) informiert hatte, wurden sie im Dezember 2021 geschlossen und ihre Patches an die Gerätehersteller und Google übermittelt. Anschließend habe man den Nutzern mehrere Monate Zeit gegeben, um entsprechende Sicherheitsupdates einzuspielen, erklärte Checkpoint. Geräte mit einem Patchlevel vor 5. Dezember 2021 sind jedoch weiterhin verwundbar.

Open-Source-Variante von ALAC nicht gepflegt

Bereits Ende 2011 hat Apple ALAC als Open Source zur Verfügung gestellt. Seitdem wurde der Codec in viele Geräte und Programme zur Audiowiedergabe eingebettet, darunter beispielsweise Mediaplayer unter Linux und Windows, aber auch Android-basierte Smartphones.

Apple habe die proprietäre Version des Decoders seitdem bereits mehrfach aktualisiert und Sicherheitslücken behoben, den 2011 veröffentlichten Open-Source-Code jedoch nicht, erklärte Checkpoint. "Viele Drittanbieter verwenden den von Apple bereitgestellten Code als Grundlage für ihre eigenen ALAC-Implementierungen und es ist anzunehmen, dass viele von ihnen den externen Code nicht pflegen." So sei Checkpoint auf die Sicherheitslücken bei Mediatek und Qualcomm aufmerksam geworden, schreibt die Sicherheitsfirma.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


M.P. 23. Apr 2022

Man kann die Achseln zucken, und ein technisch ansonsten noch durchaus einwandfreies...

Termuellinator 23. Apr 2022

Dass der links liegen gelassene Code dann auch noch so breit verwendet wurde macht das...

maxule 23. Apr 2022

Weiter gefragt: Reicht es auf einer Webseite eine Audiodatei ungefragt untergejubelt zu...

Vögelchen 22. Apr 2022

Und am wenigsten auf meinem Android! Würde mir wünschen, die verdammten Codecs wären...



Aktuell auf der Startseite von Golem.de
Updates für GPT-3 und GPT-4
GPT im Geschwindigkeitsrausch

OpenAIs Updates für GPT-4 und GPT-3 machen die Modelle zuverlässiger, vor allem aber anpassungsfähiger. Die Änderungen und neuen Features im Detail.
Von Fabian Deitelhoff

Updates für GPT-3 und GPT-4: GPT im Geschwindigkeitsrausch
Artikel
  1. Candy Crushed: Royal Match wird profitabelstes Mobile Game
    Candy Crushed
    Royal Match wird profitabelstes Mobile Game

    Die langanhaltende Dominanz von Candy Crush Saga ist vorbei. Das meiste Geld verdient jetzt ein Start-up aus Istanbul mit einem Puzzlespiel.

  2. Datenschutz: ChatGPT-Exploit findet E-Mail-Adressen von Times-Reportern
    Datenschutz
    ChatGPT-Exploit findet E-Mail-Adressen von Times-Reportern

    Eigentlich sollte der Chatbot auf diese Anfrage gar nicht antworten. Tut er es dennoch, lauern womöglich noch viel brisantere Informationen.

  3. Donald E. Knuth: 30 Jahre Weihnachtsvorlesungen frei verfügbar
    Donald E. Knuth
    30 Jahre Weihnachtsvorlesungen frei verfügbar

    Ein bisschen theoretische Informatik, Algorithmen oder Mathematik zu Weihnachten? Wer das mag, kann nun sogar alle Vorlesungen hintereinander ansehen.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    • Daily Deals • TeamGroup Cardea Graphene A440 2 TB mit zwei Kühlkörpern 112,89€ • Logitech G915 TKL LIGHTSYNC RGB 125,11€ • AVM FRITZ!Repeater 3000 AX 129€ • Philips Ambilight 77OLED808 2.599€ • MindStar: Patriot Viper VENOM 64 GB DDR5-6000 159€, XFX RX 7900 XT Speedster MERC 310 Black 789€ [Werbung]
    •  /