Qualcomm’un Ocak 2023 güvenlik bülteninde ele aldığı bellenimde toplam 22 özel yazılım güvenlik açığı tespit edildi.
Siber suçlular daha çok donanımı destekleyen alt düzey katıştırılmış koda odaklandığından, aygıt yazılımı saldırıları günümüzde giderek yaygınlaşıyor. Qualcomm‘ın donanımı bu konudaki en son hedeftir.
Bildirildiğine göre şirket, amiral gemisi yonga seti paketi Snapdragon’da yaklaşık 2 düzine güvenlik açığının bulunduğu konusunda bilgilendirildi.
Güvenlik Açıkları Ayrıntıları
Bu güvenlik açıkları, Binarly AI destekli üretici yazılımı koruma şirketi tarafından keşfedildi. Qualcomm’un Ocak 2023 güvenlik bülteninde ele aldığı bellenimde toplam 22 özel yazılım sorunu tespit edildi.
Bunlar, otomotivde CVE-2022-33218 ve CVE-2022-33219 olarak izlenen 2 hatayı ve CVE-2022-33265 olarak izlenen elektrik hattı iletişim sabit yazılımındaki bir hatayı içerir. Bu hatalar, kritik veya yüksek önem derecesi olarak derecelendirildi ve yamaları oldukça karmaşıktı.
Ek olarak, ARM üzerindeki UEFI ürün yazılımındaki beş büyük güvenlik açığı belirlendi ve CVE-2022-40516’dan CVE-2022-40520’ye kadar izlendi. Bu güvenlik açıkları, ARM tabanlı cihazların ve dizüstü bilgisayarların tüm altyapısını etkiledi.
Binarly, sınırların dışında okuma yayını ve yığın tabanlı arabellek taşmaları dahil olmak üzere iki tür güvenlik açığı keşfetti. Her ikisi de DXE sürücüsüne bağlıydı ve yükseltilmiş ayrıcalıklar kazananlar tarafından istismar edilebilirdi.
Şirket, beş bağlantı ve önyükleme sorunu için yamalar da dahil olmak üzere en son güvenlik danışma belgesinde güvenlik açıkları için yamalar yayınladı.
Hangi Cihazlar Risk Altında?
Lenovo, Microsoft ve Samsung tarafından üretilen cihazlar, Snapdragon yonga setlerinin kullanılması nedeniyle risk altındadır. Bununla birlikte, güvenlik açıkları araçları elektrik hattı iletişimlerine etkileyebileceğinden, etkinin kapsamı oldukça çeşitlidir. Bilgin olsun, Snapdragon CPU ARM mimarisini kullanır.
Dolayısıyla Lenovo ve diğer üreticilerin yanı sıra ARM tabanlı Microsoft Surface ve Windows Dev Kit 2023/Project Volterra bilgisayarları da güvenlik açıklarından etkilendi. Bazı güvenlik açıkları rasgele kod yürütülmesine yol açabilir ve Güvenli Önyükleme atlaması için istismar edilerek bir saldırganın dosya sistemine yazma ayrıcalıkları kazanarak bir cihazda kalıcılık kazanmasına olanak verebilir.
Kusurlar Nasıl Keşfedildi?
Binarly’nin kurucusu ve CEO’su Alex Matrosov, Snapdragon system-on-a-chip tarafından desteklenen Lenovo Thinkpad X13s sabit yazılımını incelerken yaklaşık dokuz güvenlik açığı keşfettiklerini açıkladı.
Daha fazla araştırma, bazı güvenlik açıklarının Lenovo cihazlarına özgü olduğunu ve etkilenen beş Qualcomm referans kodunu ortaya çıkardı. Bu, güvenlik açıklarının dizüstü bilgisayarları ve Snapdragon yongalarının kurulu olduğu diğer tüm cihazları etkilediği anlamına geliyor.
Matrosov, ARM cihaz mimarisine bağlı UEFI ürün yazılımı güvenlik açıklarının bu ölçekte ilk kez ifşa edildiğini açıkladı. CEO ayrıca, etkilenen yonga setlerinin sayısının “çok fazla” olduğunu da belirtti.
İyi haber şu ki, Lenovo sorunu ele aldı ve tavsiye belgesi burada mevcut.
İlgili konular
- Uyarı: Yeni Bluetooth kusuru, saldırganların trafiği izlemesine olanak tanır
- 50’den fazla üst düzey kuruluşun kaynak kodu internete sızdırıldı
- Coin Miner’ı Teslim Etmek İçin MSI Afterburner’ı Kullanan Hackerlar
- 400 çip kusuru, 3 milyar Android telefonu casusluk aracına dönüştürüyor
- Microsoft, Windows PC’lerin Pluton güvenlik yongası ile korunmasını umuyor