Check Point:全球三分之二Android使用者恐面臨隱私洩露風險
Check Point 的威脅情報部門 Check Point Research 於高通和聯發科的音訊解碼器(Audio Decoder)中發現漏洞。此漏洞是基於一個 Apple 11 年前開源的程式碼;若未及時修補,攻擊者將能夠遠端存取媒體和對話音訊,或透過惡意遠端程式碼執行(RCE)威脅全球三分之二的行動裝置。
Apple 開發的保真壓縮音訊編解碼器(ALAC)是一種音訊編碼格式,於 2004 年首次推出,用於數位音樂的保真音訊壓縮,並於 2011 年底開源。ALAC 格式自此被應用於許多非 Apple 音訊播放設備和程式中,包括 Android 智慧型手機、Linux 和 Windows 媒體播放器及轉換器。此後 Apple 多次更新並修補其私有版本的解碼器,但開源版本自 2011 年以來就未再更新;Check Point Research 團隊發現,高通和聯發科都在其音訊解碼器中採用了含有安全漏洞的 ALAC。
此漏洞可能被攻擊者用於遠端程式碼執行,透過異常音訊檔對行動裝置發起攻擊;此類型漏洞影響層面廣,包含惡意軟體執行和攻擊者能成功控制使用者的多媒體資料,例如能串流受攻擊裝置的攝影畫面等。此外,權限較低的 Android 應用程式可利用這些漏洞提升權限,並存取使用者的媒體資料和對話紀錄。
Check Point Research 逆向工程和安全研究部 Slava Makkaveev 指出:「這組漏洞能讓攻擊者在全球三分之二的行動裝置上遠端執行及提升權限,且這些漏洞很容易被利用,受害者只要播放攻擊者傳送的一首歌曲(媒體檔案),惡意程式碼便能成功注入權限較高的媒體服務中。攻擊者將能看到使用者在手機上查找的資訊;而在 Check Point Research 的概念驗證(PoC)中,我們也證實能夠直接串流受害手機的攝影畫面。手機中最敏感資訊是包含音訊及視訊等的媒體服務,而攻擊者竟能透過此漏洞成功竊取這些資訊,其中易受攻擊的解碼器正是源自於 Apple 11年前開源的程式碼。」
Check Point Research 已向聯發科和高通揭露相關資訊,並與這兩家廠商密切合作,確保這些漏洞得以盡快修復。聯發科將漏洞命名為 CVE-2021-0674 和 CVE-2021-0675,目前這些漏洞已修復,並發佈在 2021 年 12 月聯發科產品安全佈告欄中;高通則在 2021 年 12 月高通安全佈告欄中發佈了 CVE-2021-30351 的修補程式。Check Point Software 建議使用者可依循 Google 每月發佈的安全性公告更新手機。
轉自此處
Apple 開發的保真壓縮音訊編解碼器(ALAC)是一種音訊編碼格式,於 2004 年首次推出,用於數位音樂的保真音訊壓縮,並於 2011 年底開源。ALAC 格式自此被應用於許多非 Apple 音訊播放設備和程式中,包括 Android 智慧型手機、Linux 和 Windows 媒體播放器及轉換器。此後 Apple 多次更新並修補其私有版本的解碼器,但開源版本自 2011 年以來就未再更新;Check Point Research 團隊發現,高通和聯發科都在其音訊解碼器中採用了含有安全漏洞的 ALAC。
此漏洞可能被攻擊者用於遠端程式碼執行,透過異常音訊檔對行動裝置發起攻擊;此類型漏洞影響層面廣,包含惡意軟體執行和攻擊者能成功控制使用者的多媒體資料,例如能串流受攻擊裝置的攝影畫面等。此外,權限較低的 Android 應用程式可利用這些漏洞提升權限,並存取使用者的媒體資料和對話紀錄。
Check Point Research 逆向工程和安全研究部 Slava Makkaveev 指出:「這組漏洞能讓攻擊者在全球三分之二的行動裝置上遠端執行及提升權限,且這些漏洞很容易被利用,受害者只要播放攻擊者傳送的一首歌曲(媒體檔案),惡意程式碼便能成功注入權限較高的媒體服務中。攻擊者將能看到使用者在手機上查找的資訊;而在 Check Point Research 的概念驗證(PoC)中,我們也證實能夠直接串流受害手機的攝影畫面。手機中最敏感資訊是包含音訊及視訊等的媒體服務,而攻擊者竟能透過此漏洞成功竊取這些資訊,其中易受攻擊的解碼器正是源自於 Apple 11年前開源的程式碼。」
Check Point Research 已向聯發科和高通揭露相關資訊,並與這兩家廠商密切合作,確保這些漏洞得以盡快修復。聯發科將漏洞命名為 CVE-2021-0674 和 CVE-2021-0675,目前這些漏洞已修復,並發佈在 2021 年 12 月聯發科產品安全佈告欄中;高通則在 2021 年 12 月高通安全佈告欄中發佈了 CVE-2021-30351 的修補程式。Check Point Software 建議使用者可依循 Google 每月發佈的安全性公告更新手機。
轉自此處
當鋪,當舖,當鋪公會,當舖公會,當鋪工會,當舖工會,高雄當鋪,高雄當舖,高雄市當舖,高雄市當鋪,合法當鋪,合法當舖,當鋪借款,當舖借款,當鋪借錢,當舖借錢,當鋪貸款,當舖貸款,高雄貸款,高雄借貸,高雄借錢,高雄借款,免留車,汽車借錢,汽車借款,汽車貸款,汽車借貸,機車借錢,機車借款,機車貸款,機車借貸,免留車當鋪,免留車當舖,汽車借款免留車,汽車借錢免留車,機車借款免留車,機車借錢免留車,借錢,借款,借貸,貸款,代書借款,代書借錢,分期攤還,分期車借款,分期車借錢,房屋借款,房屋借錢,房屋借貸,房屋貸款,土地借款,土地借錢,土地借貸,土地貸款,不動產借款,不動產借錢,不動產借貸,不動產貸款,二胎貸款,二胎借錢,二胎借貸,二胎借款,小額信貸,小額借款,小額貸款,小額借錢,信用貸款,刷卡,拍賣會,證件借款,證件借貸,證件借錢,當鋪鑽石,當舖鑽石,當鋪黃金,當舖黃金,當鋪勞力士,當舖勞力士,手錶,金塊,精品,低利率,鑽石,高雄汽車借款,高雄汽車借錢,高雄汽車貸款,高雄機車借款,高雄機車借錢,高雄機車貸款,高雄當鋪推薦,高雄當舖推薦, 高雄房屋貸款融資