Η
Qualcomm
προειδοποιεί για τρεις ευπάθειες
zero-day
στα προγράμματα οδήγησης GPU και Compute DSP που οι χάκερ εκμεταλλεύονται ενεργά σε επιθέσεις.
Η αμερικανική εταιρεία ημιαγωγών ενημερώθηκε από την ομάδα ανάλυσης απειλών (TAG) της
Google
και τις ομάδες Project Zero ότι
CVE-2023-33106,
CVE-2023-33107
,
CVE-
2022
-22071
και
CVE-2023-33063
μπορεί να υπόκειται σε περιορισμένη, στοχευμένη εκμετάλλευση.
Η Qualcomm λέει ότι κυκλοφόρησε ενημερώσεις ασφαλείας που αντιμετωπίζουν τα προβλήματα στα προγράμματα οδήγησης Adreno GPU και Compute DSP, ενώ ειδοποιήθηκαν επίσης οι επηρεαζόμενοι OEM.
Qualcomm
.
Το ελάττωμα CVE-2022-22071 ήταν
αποκαλύφθηκε τον Μάιο του 2022
και είναι μια τοπικά εκμεταλλεύσιμη χρήση υψηλής σοβαρότητας (CVSS v3.1: 8.4) μετά από δωρεάν σφάλματα που επηρεάζουν δημοφιλή τσιπ όπως τα SD855, SD865 5G και SD888
5G
Η Qualcomm δεν έχει δημοσιεύσει λεπτομέρειες σχετικά με τα ελαττώματα CVE-2023-33106, CVE-2022-22071 και CVE-2023-33063 που χρησιμοποιούνται ενεργά και θα παράσχει περισσότερες πληροφορίες στο ενημερωτικό δελτίο του Δεκεμβρίου 2023.
Το ενημερωτικό δελτίο ασφαλείας αυτού του μήνα προειδοποιεί επίσης για τρία άλλα κρίσιμα τρωτά σημεία:
-
CVE-2023-24855
: Καταστροφή της μνήμης στο στοιχείο μόντεμ της Qualcomm που εμφανίζεται κατά την επεξεργασία διαμορφώσεων που σχετίζονται με την ασφάλεια πριν από το AS Security Exchange. (CVSS v3.1: 9.8) -
CVE-2023-28540
: Κρυπτογραφικό πρόβλημα στο στοιχείο
Data
Modem που προκύπτει από ακατάλληλο έλεγχο ταυτότητας κατά τη χειραψία TLS. (CVSS v3.1: 9.1) -
CVE-2023-33028
: Καταστροφή της μνήμης στο υλικολογισμικό WLAN που συμβαίνει κατά την αντιγραφή της προσωρινής μνήμης pmk χωρίς την εκτέλεση ελέγχων μεγέθους. (CVSS v3.1: 9.8)
Μαζί με τα παραπάνω, η Qualcomm αποκάλυψε 13 ελαττώματα υψηλής σοβαρότητας και άλλα τρία κρίσιμης σοβαρότητας ευπάθειες που ανακάλυψαν οι μηχανικοί της.
Καθώς τα ελαττώματα CVE-2023-24855, CVE-2023-2854 και CVE-2023-33028 είναι όλα απομακρυσμένα εκμεταλλεύσιμα, είναι κρίσιμα από άποψη ασφάλειας, αλλά δεν υπάρχει καμία ένδειξη ότι γίνεται εκμετάλλευση.
Δυστυχώς, δεν μπορούν να κάνουν πολλά οι επηρεαζόμενοι καταναλωτές εκτός από την εφαρμογή των διαθέσιμων ενημερώσεων μόλις τους φτάσουν μέσω των συνηθισμένων καναλιών OEM.
Τα ελαττώματα των προγραμμάτων οδήγησης απαιτούν συνήθως τοπική πρόσβαση για εκμετάλλευση, που συνήθως επιτυγχάνονται μέσω μολύνσεων από κακόβουλο λογισμικό, επομένως συνιστάται στους κατόχους συσκευών Android να περιορίζουν τον αριθμό των εφαρμογών που κατεβάζουν και να τις προμηθεύονται μόνο από αξιόπιστα αποθετήρια.
Χθες, η Arm εξέδωσε μια παρόμοια συμβουλευτική προειδοποίηση ασφαλείας σχετικά με ένα ελάττωμα που εκμεταλλεύτηκε ενεργά (το CVE-2023-4211 που ανακαλύφθηκε και του αναφέρθηκε από την Ομάδα Ανάλυσης Απειλές (TAG) της Google και το Project Zero, η οποία επηρεάζει ένα ευρύ φάσμα προγραμμάτων οδήγησης GPU του Μάλι.
