Sicherheitslücke: Apple-Codec sorgt für Lücke in Android-Smartphones

Mit präparierten Audiodateien haben sich etliche Android-Smartphones mit Qualcomm- oder Mediatek-Chip hacken lassen.

Artikel veröffentlicht am ,
Ein Apple-Codec in Android
Ein Apple-Codec in Android (Bild: noname_04/Pixabay)

Über eine Sicherheitslücke konnte Schadcode in vielen Smartphones mit Qualcomm- oder Mediatek-SoCs ausgeführt werden. Konkret betroffen war deren Implementierung des Apple Lossless Audio Codec (ALAC), einem Decoder für das verlustfreie ALAC-Format von Apple. Entdeckt wurde die Sicherheitslücke von der Sicherheitsfirma Checkpoint, die sie Alhack nennt.

Stellenmarkt
  1. Ingenieur (m/w/d) Netzberechnung Datenhaltung
    Amprion GmbH, Pulheim
  2. Trend- und Technology Analyst Innovationsabteilung (m/w/d)
    Hays AG, Köln, Mannheim, München, deutschlandweit (Homeoffice)
Detailsuche

"Die von den Forschern gefundenen ALAC-Probleme konnten von einem Angreifer für einen Remote-Code-Execution-Angriff (RCE) auf einem mobilen Gerät über eine fehlerhafte Audiodatei genutzt werden", erklärte Checkpoint. Auch Android-Apps hätten über die Sicherheitslücke ihre Rechte ausweiten können.

"Die Schwachstellen waren leicht ausnutzbar. Ein Hacker hätte ein Lied (oder irgendeine eine Mediendatei) senden und beim Abspielen durch ein Opfer einen Code in den privilegierten Mediendienst injizieren können", sagte Slava Makkaveev, Reverse Engineering & Security Researcher bei Checkpoint. In einem Proof of Concept habe man auf den Videostream der Kamera zugreifen können.

Nachdem Checkpoint Mediatek und Qualcomm über die Sicherheitslücken (CVE-2021-0674, CVE-2021-0675, CVE-2021-30351) informiert hatte, wurden sie im Dezember 2021 geschlossen und ihre Patches an die Gerätehersteller und Google übermittelt. Anschließend habe man den Nutzern mehrere Monate Zeit gegeben, um entsprechende Sicherheitsupdates einzuspielen, erklärte Checkpoint. Geräte mit einem Patchlevel vor 5. Dezember 2021 sind jedoch weiterhin verwundbar.

Open-Source-Variante von ALAC nicht gepflegt

Golem Akademie
  1. Container Technologie: Docker und Kubernetes - Theorie und Praxis: virtueller Drei-Tage-Workshop
    04.-07.07.2022, virtuell
  2. Hands-on C# Programmierung: virtueller Zwei-Tage-Workshop
    09./10.06.2022, virtuell
Weitere IT-Trainings

Bereits Ende 2011 hat Apple ALAC als Open Source zur Verfügung gestellt. Seitdem wurde der Codec in viele Geräte und Programme zur Audiowiedergabe eingebettet, darunter beispielsweise Mediaplayer unter Linux und Windows, aber auch Android-basierte Smartphones.

Apple habe die proprietäre Version des Decoders seitdem bereits mehrfach aktualisiert und Sicherheitslücken behoben, den 2011 veröffentlichten Open-Source-Code jedoch nicht, erklärte Checkpoint. "Viele Drittanbieter verwenden den von Apple bereitgestellten Code als Grundlage für ihre eigenen ALAC-Implementierungen und es ist anzunehmen, dass viele von ihnen den externen Code nicht pflegen." So sei Checkpoint auf die Sicherheitslücken bei Mediatek und Qualcomm aufmerksam geworden, schreibt die Sicherheitsfirma.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


M.P. 23. Apr 2022 / Themenstart

Man kann die Achseln zucken, und ein technisch ansonsten noch durchaus einwandfreies...

Termuellinator 23. Apr 2022 / Themenstart

Dass der links liegen gelassene Code dann auch noch so breit verwendet wurde macht das...

maxule 23. Apr 2022 / Themenstart

Weiter gefragt: Reicht es auf einer Webseite eine Audiodatei ungefragt untergejubelt zu...

Vögelchen 22. Apr 2022 / Themenstart

Und am wenigsten auf meinem Android! Würde mir wünschen, die verdammten Codecs wären...

Kommentieren



Aktuell auf der Startseite von Golem.de
Sicherheitslücke
Die Schadsoftware, die auf ausgeschalteten iPhones aktiv ist

Forschern ist es gelungen, eine Schadsoftware auf ausgeschalteten iPhones mit vermeintlich leerem Akku auszuführen. Denn ganz aus sind diese nicht.

Sicherheitslücke: Die Schadsoftware, die auf ausgeschalteten iPhones aktiv ist
Artikel
  1. Bundeswehr: Das Heer will sich nicht abhören lassen
    Bundeswehr
    Das Heer will sich nicht abhören lassen

    Um sicher zu kommunizieren, halten die Landstreitkräfte in NATO-Missionen angeblich ihre Panzer an und verabreden sich "von Turm zu Turm".
    Ein Bericht von Matthias Monroy

  2. Einstieg in Linux mit drei Online-Workshops
     
    Einstieg in Linux mit drei Online-Workshops

    Linux-Systeme verstehen und härten sowie die Linux-Shell programmieren - das bieten drei praxisnahe Online-Workshops der Golem Akademie.
    Sponsored Post von Golem Akademie

  3. Milliarden-Übernahme: Musk spricht von günstigerem Übernahmeangebot für Twitter
    Milliarden-Übernahme  
    Musk spricht von günstigerem Übernahmeangebot für Twitter

    Mit Blick auf die Zählung von Spam-Konten bei Twitter hat Elon Musk gefragt, ob die mehr als 200 Millionen Twitter-Nutzer angerufen worden seien.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Cyber Week: Bis zu 400€ Rabatt auf Gaming-Stühle • AOC G3 Gaming-Monitor 34" UWQHD 165 Hz günstig wie nie: 404€ • Xbox Series X bestellbar • MindStar (u.a. Gigabyte RTX 3090 24GB 1.699€) • LG OLED TV (2021) 65" 120 Hz 1.499€ statt 2.799€ [Werbung]
    •  /