▲Check Point Research 於高通和聯發科的音訊解碼器中發現漏洞。（圖／Check Point 提供）
記者吳佳穎／台北報導
資安廠商 Check Point 的威脅情報部門 Check Point Research 在高通（Qualcomm）和聯發科（MediaTek）的音訊解碼器（Audio Decoder）中發現漏洞，恐讓全球三分之二 Android 使用者恐面臨隱私洩露風險。漏洞可被攻擊者用於遠端程式碼執行，控制使用者的多媒體資料，如能串流受攻擊裝置的攝影畫面等，權限較低的 Android 應用程式，還可提升權限，存取使用者的媒體資料和對話紀錄。
Check Point Research 已向聯發科和高通揭露相關資訊，確保這些漏洞得以盡快修復。聯發科將漏洞命名為 CVE-2021-0674 和 CVE-2021-0675，目前這些漏洞已修復，並發佈在 2021 年 12 月聯發科產品安全佈告欄中；高通則在 2021 年 12 月高通安全佈告欄中發佈了 CVE-2021-30351 的修補程式。
Check Point Software 也建議使用者可依循 Google 每月發佈的安全性公告更新手機。
Check Point 指出，這次揭露的漏洞是基於一個 Apple 11 年前開源的程式碼；若未及時修補，攻擊者將能夠遠端存取媒體和對話音訊，或透過惡意遠端程式碼執行（RCE）威脅全球三分之二的行動裝置。
Apple 開發的保真壓縮音訊編解碼器（Apple Lossless Audio Codec，ALAC）是一種音訊編碼格式，於 2004 年首次推出，用於數位音樂的保真音訊壓縮，並於 2011 年底開源。
之後，ALAC 格式被應用於許多「非 Apple 音訊播放設備和程式」中，包括 Android 智慧型手機、Linux 和 Windows 媒體播放器及轉換器。此後 Apple 多次更新並修補其私有版本的解碼器，但開源版本自 2011 年以來就未再更新；Check Point Research 團隊發現，高通和聯發科都在其音訊解碼器中採用了含有安全漏洞的 ALAC。
Check Point說明，這個漏洞可能被攻擊者用於遠端程式碼執行，透過異常音訊檔對行動裝置發起攻擊，影響層面甚廣。包含惡意軟體執行、攻擊者能成功控制使用者的多媒體資料，如能串流受攻擊裝置的攝影畫面等。此外，權限較低的 Android 應用程式，可利用這些漏洞提升權限，並存取使用者的媒體資料和對話紀錄。
Check Point Research 逆向工程和安全研究部 Slava Makkaveev 指出，這組漏洞能讓攻擊者在全球三分之二的行動裝置上遠端執行及提升權限，且這些漏洞很容易被利用，受害者只要播放攻擊者傳送的一首歌曲（媒體檔案），惡意程式碼便能成功注入權限較高的媒體服務中。攻擊者竟能透過此漏洞成功竊取這些資訊，其中易受攻擊的解碼器正是源自於 Apple 11年前開源的程式碼。」
讀者迴響