DSP-portti: Massiivinen Qualcomm-siruvika jättää 40 % älypuhelimista kokonaan näkyviin
3 min. lukea
Julkaistu
Jaa tämä artikkeli
Paranna tätä ohjetta
Lue ilmoitussivumme saadaksesi selville, kuinka voit auttaa MSPoweruseria ylläpitämään toimitustiimiä Lue lisää
Qualcomm on vahvistanut löytäneensä valtavan virheen heidän älypuhelinpiirissään, joka jättää matkapuhelimet täysin alttiina hakkereille.
Check Point Securityn havaitsema Snapdragon DSP:n virhe, joka löytyy useimmista Android-puhelimista, antaa hakkereille mahdollisuuden varastaa tietosi, asentaa mahdotonta löytää vakoiluohjelmistoja tai sulkea luuri kokonaan.
Check Point paljasti vian julkisesti osoitteessa Pwn2Own, paljastaa, että Qualcommin suojaus DSP:n peukaloinnin suhteen Snapdragon-puhelimissa ohitettiin helposti, ja koodista löytyi 400 hyödynnettävissä olevaa puutetta.
He huomauttavat:
Turvallisuussyistä cDSP on lisensoitu ohjelmointiin OEM-valmistajilta ja rajoitetulta määrältä kolmannen osapuolen ohjelmistotoimittajia. DSP:llä toimiva koodi on Qualcommin allekirjoittama. Näytämme kuitenkin, kuinka Android-sovellus voi ohittaa Qualcommin allekirjoituksen ja suorittaa etuoikeutetun koodin DSP:llä ja mihin muihin tietoturvaongelmiin tämä voi johtaa.
Hexagon SDK on toimittajien virallinen tapa valmistella DSP:hen liittyvää koodia. Löysimme SDK:sta vakavia bugeja, jotka ovat johtaneet satoihin piilotettuihin haavoittuvuuksiin Qualcommin omistamassa ja toimittajien koodissa. Totuus on, että melkein kaikki Qualcomm-pohjaisiin älypuhelimiin upotetut DSP-suoritettavat kirjastot ovat alttiita hyökkäyksille Hexagon SDK:n ongelmien vuoksi. Aiomme korostaa automaattisesti luodut tietoturva-aukot DSP-ohjelmistossa ja sitten hyödyntää niitä.
DSP-portiksi nimetty hyväksikäyttö mahdollisti minkä tahansa haavoittuvaan matkapuhelimeen asennetun sovelluksen (jotka ovat pääasiassa Android-laitteita) hallita DSP:tä ja saada sitten vapaat kädet laitteeseen.
Qualcomm on korjannut ongelman, mutta valitettavasti Androidin hajanaisuuden vuoksi on epätodennäköistä, että korjaus tavoita useimmat matkapuhelimet.
"Vaikka Qualcomm on korjannut ongelman, se ei valitettavasti ole tarinan loppu", Yaniv Balmas, Check Pointin kybertutkimuksen johtaja, sanoi, "sadat miljoonat puhelimet ovat alttiina tälle turvallisuusriskille."
"Jos tällaisia haavoittuvuuksia havaitaan ja pahantahtoiset toimijat käyttävät niitä", Balmas lisäsi, "on kymmeniä miljoonia matkapuhelimien käyttäjiä, joilla ei ole juuri mitään keinoa suojautua hyvin pitkään."
Onneksi Check Point ei ole vielä julkaissut kaikkia DSP-gaten yksityiskohtia, joten saattaa kestää jonkin aikaa ennen kuin hakkerit alkavat hyödyntää sitä luonnossa.
Qualcomm sanoi lausunnossaan:
"Qualcommin ensisijainen tavoite on tarjota vankkaa tietoturvaa ja yksityisyyttä tukevia teknologioita. Check Pointin paljastaman Qualcomm Compute DSP -haavoittuvuuden osalta työskentelimme ahkerasti vahvistaaksemme ongelman ja tarjotaksemme asianmukaisia lievennyksiä OEM-valmistajille. Meillä ei ole todisteita siitä, että sitä hyödynnettäisiin tällä hetkellä. Kannustamme loppukäyttäjiä päivittämään laitteensa sitä mukaa kun korjaustiedostoja tulee saataville ja asentamaan sovelluksia vain luotettavista paikoista, kuten Google Play Kaupasta."
kautta Forbes
