Sicherheitswarnung: Schwachstellen in Qualcomm-Treibern werden aktiv ausgenutzt
Der Chiphersteller Qualcomm warnt derzeit vor einer aktiven Ausnutzung von insgesamt vier Schwachstellen, die die in vielen Android-basierten Smartphones und Tablets verwendeten Adreno-GPU- und Compute-DSP-Treiber des Unternehmens betreffen. Wie der Hersteller in seinem Security Bulletin für Oktober 2023(öffnet im neuen Fenster) mitteilt, stehen den jeweiligen OEMs bereits Patches zur Verfügung - inklusive einer dringenden Empfehlung, diese möglichst zeitnah über Sicherheitsupdates für Anwender bereitzustellen.
Von einer gezielten Ausnutzung "in begrenztem Umfang" sind demnach CVE-2023-33106, CVE-2023-33107, CVE-2022-22071 und CVE-2023-33063 betroffen. Entsprechende Hinweise habe Qualcomm von Googles Threat Analysis Group (TAG) und Googles Project Zero erhalten, detailliertere Informationen zu den Angriffen wurden aber bisher nicht veröffentlicht. Anwendern empfiehlt der Chiphersteller, sich direkt an den jeweiligen Gerätehersteller zu wenden, um weitere Informationen zum Patch-Status für bestimmte Endgeräte zu erhalten.
Nähere Details zu CVE-2022-22071 hatte Qualcomm bereits im Mai 2022 veröffentlicht(öffnet im neuen Fenster) . Dabei handelt es sich um einen lokal ausnutzbaren Use-After-Free-Bug(öffnet im neuen Fenster) mit einem CVSS von 8,4 - und somit einem hohen Schweregrad. Er betrifft zahlreiche weitverbreitete SoCs des Herstellers. Weitere Informationen zu den übrigen drei Schwachstellen will das Unternehmen erst im Dezember 2023 veröffentlichen.
Qualcomm patcht weitere Schwachstellen
Darüber hinaus listet Qualcomm im Security Bulletin für den aktuellen Monat noch weitere 17 Schwachstellen unterschiedlicher Schweregrade auf, für die das Unternehmen den jeweiligen Geräteherstellern Patches bereitgestellt haben soll. Mit CVE-2023-24855, CVE-2023-28540 und CVE-2023-33028 sind auch drei kritische Sicherheitslücken dabei, die sich auf das Modem und die WLAN-Firmware beziehen. Alle drei sollen aus der Ferne ausnutzbar sein, wenngleich es bisher wohl keine Hinweise darauf gibt, dass Angreifer davon bereits Gebrauch gemacht haben.
Updates sollten zeitnah installiert werden
Auch der Chipdesigner ARM hatte erst kürzlich vor der aktiven Ausnutzung einer Schwachstelle im Treiber für seine Mali-GPUs gewarnt. Anwendern wird daher empfohlen, auf ihren Smartphones und Tablets in nächster Zeit Ausschau nach neuen Sicherheitsupdates zu halten und diese zeitnah zu installieren. Bis es so weit ist, kann es aber je nach Hersteller noch einige Zeit dauern. Viele ältere Geräte erhalten die Patches wahrscheinlich gar nicht mehr.