導(dǎo)讀:IT資訊IT資訊Check Point Research在高通（Qualcomm）和聯(lián)發(fā)科（MediaTek）的音頻解碼器（Audio Decoder）中發(fā)現(xiàn)漏洞。這漏洞是基于itm專利知識產(chǎn)權(quán)版那個公司的電腦技術(shù)定義。

Check Point Research在高通（Qualcomm）和聯(lián)發(fā)科（MediaTek）的音頻解碼器（Audio Decoder）中發(fā)現(xiàn)漏洞。這漏洞是基于一個 Apple 11 年前開源代碼；若不及時修復(fù)，攻擊者將能夠遠(yuǎn)程讀取媒體和對話音頻，或通過惡意遠(yuǎn)端代碼執(zhí)行（RCE）威脅全球三分之二的移動設(shè)備。

Apple開發(fā)的保真壓縮音頻編解碼器（Apple Lossless Audio Codec，ALAC）是一種音頻編碼格式，于2004年首次推出，用于數(shù)字音樂的保真音頻壓縮，并于2011年底開源。ALAC格式自此被應(yīng)用于許多非Apple音頻播放設(shè)備和程序中，包括Andr網(wǎng)站建設(shè)oid智能手機(jī)、Linux 和 Windows 媒體播放器及轉(zhuǎn)換器。此后 Apple 多次更新并修復(fù)其私有版本的解碼器，但開源版本自 2011 年以來就未再更新；Check Point Research 團(tuán)隊發(fā)現(xiàn)，高通和聯(lián)發(fā)科都在其音頻解碼器中採用了含有安全漏洞的 ALAC。

這漏洞可能被攻擊者用于遠(yuǎn)程代碼執(zhí)行，通過異常音頻文件對移動設(shè)備發(fā)起攻擊；此類型漏洞影響層面廣，包含惡意軟件執(zhí)行和攻擊者能成功控制使用者的多媒體資料，例如能串流受攻擊設(shè)備的拍攝畫面等。此外，權(quán)限較低的 Android 應(yīng)用程序可利用這些漏洞提升權(quán)限，并讀取使用者的媒體資料和對話紀(jì)錄。

Galaxy Z Fold 4、Flip 4 大量疑似官方宣傳圖曝光

Check Point Research 逆向工程和安全研究部 Slava Makkaveev 指出：「這組漏洞能讓攻擊者在全球三分之二的移動設(shè)備上遠(yuǎn)程執(zhí)行及提升權(quán)限，且這些漏洞很容易被利用，受害者只要播放攻擊者傳送的一首歌曲（媒體文件），惡意代碼便能成功注入權(quán)限較高的媒體服務(wù)中。攻擊者將能看到網(wǎng)站建設(shè)哪家好使用者在手機(jī)上查找的信息；而在 Check Point Research 的概念驗證（PoC）中，我們也證實能夠直接串流受害手機(jī)的拍攝畫面。手機(jī)中最敏感信息是包含音頻及視頻等的媒體服務(wù)，而攻擊者竟能通過此漏洞成功竊取這些信息，其中易受攻擊的解碼器正是源自于 Apple 11年前開源的代碼?！?/p>

Check Point Research 已向聯(lián)發(fā)科和高通揭露相關(guān)信息，并與這兩家廠商密切合作，確保這些漏洞得以盡快修復(fù)。聯(lián)發(fā)科將漏洞命名為 CVE-2021-0674 和 CVE-2021-0675，目前這些漏洞已修復(fù)，并發(fā)布在 2021 年 12 月聯(lián)發(fā)科產(chǎn)品安全布告欄中；高通則在 2021 年 12 月高通安全不高欄中發(fā)布了 CVE-2021-30351 的修復(fù)程序。

關(guān)鍵詞標(biāo)簽: 蘋果 資訊 解碼器