Qualcomm, Dijital Sinyal İşlemcisi (DSP) hizmetinde onlarca yonga setini etkileyen sıfır gün güvenlik açığı için güvenlik yamaları yayınladı.
Güvenlik açığı (CVE-2024-43047), Google Project Zero’dan Seth Jenkins ve Uluslararası Af Örgütü Güvenlik Laboratuvarı’ndan Conghui Wang tarafından bildirildi ve bu kusur, yerel saldırganlar tarafından başarıyla kullanıldığında hafıza bozulmasına yol açabilecek bir serbest kullanım sonrası zayıflığından kaynaklanıyor. düşük ayrıcalıklara sahip.
DSP çekirdeği taahhüdünde açıklandığı gibi “Şu anda DSP, başlık arabelleklerini kullanılmayan DMA tanıtıcı fd’leriyle güncelliyor. Put_args bölümünde, başlık arabelleğinde herhangi bir DMA tanıtıcı FD’si mevcutsa, karşılık gelen harita serbest bırakılır”.
“Ancak, başlık arabelleği imzasız PD’deki kullanıcılara açık olduğundan, kullanıcılar geçersiz FD’leri güncelleyebilir. Bu geçersiz FD, halihazırda kullanımda olan herhangi bir FD ile eşleşirse, serbest kullanım sonrası (UAF) güvenlik açığına yol açabilir. “
Şirketin Pazartesi günkü güvenlik tavsiyesinde uyardığı gibi, Google’ın Tehdit Analizi Grubu ve Uluslararası Af Örgütü Güvenlik Laboratuvarı’ndaki güvenlik araştırmacıları, güvenlik açığını vahşi ortamda istismar edilen bir güvenlik açığı olarak etiketledi. Her iki grup da gazeteciler, muhalif politikacılar ve muhalifler dahil olmak üzere yüksek riskli kişilerin mobil cihazlarını hedef alan casus yazılım saldırılarında kullanılan sıfır gün hatalarını keşfetmeleriyle biliniyor.
Qualcomm bugün “Google Tehdit Analiz Grubu’ndan CVE-2024-43047’nin sınırlı ve hedefli bir şekilde istismar edildiğine dair işaretler var” diye uyardı. “FASTRPC sürücüsünü etkileyen soruna yönelik yamalar, güncellemenin etkilenen cihazlara mümkün olan en kısa sürede dağıtılması yönünde güçlü bir öneriyle birlikte OEM’lerin kullanımına sunuldu.”
Qualcomm ayrıca kullanıcıları, belirli cihazlarının yama durumuyla ilgili daha fazla ayrıntı için cihaz üreticileriyle iletişime geçmeye çağırdı.
Şirket bugün ayrıca WLAN Kaynak Yöneticisinde bir yıldan uzun bir süre önce bildirilen ve bellek bozulmasına yol açabilecek uygunsuz bir giriş doğrulama zayıflığından kaynaklanan neredeyse maksimum önem derecesine sahip bir kusuru (CVE-2024-33066) düzeltti.
Geçtiğimiz yılın ekim ayında Qualcomm, saldırganların GPU ve Compute DSP sürücülerindeki üç sıfır gün güvenlik açığından yararlandığı konusunda da uyarmıştı.
Google’ın Tehdit Analiz Grubu (TAG) ve Project Zero ekiplerinin raporlarına göre, bu yazılım sınırlı ve hedefli istismar için kullanıldı. Google ve Qualcomm bu saldırılarla ilgili henüz ek bilgi açıklamadı.
Son yıllarda Qualcomm, saldırganların kullanıcıların medya dosyalarına, kısa mesajlarına, çağrı geçmişine ve gerçek zamanlı konuşmalarına erişmesine olanak tanıyan yonga seti güvenlik açıklarını da kapattı.
Qualcomm ayrıca Snapdragon Dijital Sinyal İşlemcisi (DSP) çipindeki kusurları da düzelterek bilgisayar korsanlarının kullanıcı etkileşimi olmadan akıllı telefonları kontrol etmesine, kullanıcılarını gözetlemesine ve tespitten kaçabilen, kaldırılamaz kötü amaçlı yazılımlar oluşturmasına olanak tanıdı.
2020’de yamalanan bir başka güvenlik açığı olan KrØØk, saldırganların bazı WPA2 şifreli kablosuz ağ paketlerinin şifresini çözmesine olanak tanırken, şimdi düzeltilen başka bir hata da kritik verilere erişime izin verdi.