DSP 게이트: 퀄컴 칩 결함으로 인해 스마트폰의 40%가 완전히 노출됨

Qualcomm은 휴대폰을 해커에게 완전히 노출시키는 스마트폰 칩셋의 대규모 결함 발견을 확인했습니다.

Check Point Security에서 발견한 대부분의 Android 핸드셋에서 발견된 Snapdragon DSP의 결함으로 인해 해커가 데이터를 훔치거나 스파이 소프트웨어를 찾기 위해 불가능하게 설치하거나 핸드셋을 완전히 차단할 수 있습니다.

Check Point에서 공개적으로 결함을 공개했습니다. Pwn2Own, Snapdragon 핸드셋의 DSP 변조에 대한 Qualcomm의 보안이 코드에서 발견된 400개의 악용 가능한 결함으로 쉽게 우회되었음을 보여줍니다.

그들은 참고:

보안상의 이유로 cDSP는 OEM 및 제한된 수의 타사 소프트웨어 공급업체에서 프로그래밍할 수 있도록 라이선스를 받았습니다. DSP에서 실행되는 코드는 Qualcomm에서 서명했습니다. 그러나 Android 애플리케이션이 Qualcomm의 서명을 우회하고 DSP에서 권한 있는 코드를 실행하는 방법과 이로 인해 어떤 추가 보안 문제가 발생할 수 있는지 시연할 것입니다.

Hexagon SDK는 벤더가 DSP 관련 코드를 준비하는 공식 방법입니다. Qualcomm 소유 및 공급업체 코드에서 수백 개의 숨겨진 취약점을 유발하는 SDK의 심각한 버그를 발견했습니다. 사실 Qualcomm 기반 스마트폰에 내장된 거의 모든 DSP 실행 라이브러리는 Hexagon SDK의 문제로 인해 공격에 취약합니다. DSP 소프트웨어에서 자동 생성된 보안 허점을 강조한 다음 이를 악용할 것입니다.

DSP 게이트라고 불리는 이 익스플로잇을 통해 취약한 핸드셋(주로 Android 기기)에 설치된 모든 앱이 DSP를 인수한 다음 기기를 자유롭게 제어할 수 있습니다.

Qualcomm은 이 문제를 패치했지만 불행히도 Android의 조각난 특성으로 인해 수정 사항이 대부분의 핸드셋에 적용되지는 않을 것입니다.

체크포인트(Check Point)의 사이버 연구 책임자인 야니브 발마스(Yaniv Balmas)는 "퀄컴이 문제를 해결했지만 슬프게도 끝이 아니다"라며 "수억 대의 휴대폰이 이 보안 위험에 노출되어 있다"고 말했다.

Balmas는 "이러한 취약점이 악의적인 행위자에 의해 발견되어 사용된다면 매우 오랫동안 스스로를 보호할 방법이 거의 없는 수천만 명의 휴대전화 사용자가 될 것입니다."라고 덧붙였습니다.

다행스럽게도 Check Point는 DSP-gate에 대한 전체 세부 정보를 아직 공개하지 않았으므로 해커가 이를 악용하기까지 시간이 걸릴 수 있습니다.

Qualcomm은 성명에서 다음과 같이 말했습니다.

“강력한 보안 및 개인 정보 보호를 지원하는 기술을 제공하는 것은 Qualcomm의 우선 순위입니다. Check Point에서 공개한 Qualcomm Compute DSP 취약점과 관련하여 우리는 문제를 검증하고 OEM이 적절한 완화를 사용할 수 있도록 열심히 노력했습니다. 현재 악용되고 있다는 증거가 없습니다. 우리는 최종 사용자가 패치를 사용할 수 있게 되면 장치를 업데이트하고 Google Play 스토어와 같은 신뢰할 수 있는 위치의 애플리케이션만 설치할 것을 권장합니다.”

를 통해 포브스