Groźne luki w procesorach Qualcomm Snapdragon. Miliony smartfonów zagrożone

Qualcomm ma poważny problem z lukami w swoich mobilnych układach z serii Snapdragon. Google informuje również o identycznych problemach z układami graficznymi Mali. Eksperci ds. bezpieczeństwa firmy z Mountain View podają, że cyberprzestępcy wykorzystują już luki w zabezpieczeniach dotyczące sterowników jądra. Urządzenia Google Pixel są jedynymi, w których jak na razie rozprawiono się z tymi podatnościami.

Luki w procesorach Snapdragon i GPU Mali

Na początku tego miesiąca zostaliśmy powiadomieni przez firmę Check Point o krytycznej luce w zabezpieczeniach, obecnej w układach Qualcomm obecnych w setkach milionów milionów urządzeń z Androidem. W tym tygodniu Google zaktualizowało swój majowy biuletyn bezpieczeństwa Androida, by poinformować w nim, że cztery z luk ujawnionych 1 maja są już prawdopodobnie wykorzystywane. We wstępnym raporcie wymieniono nie mniej niż 42 luki w zabezpieczeniach, które zostały załatane w aktualizacji zabezpieczeń z maja 2021 roku. Nowe dane wskazywały, że cztery z nich nadal podlegają „ograniczonemu, ukierunkowanemu wykorzystaniu”.

Android has updated the May security with notes that 4 vulns were exploited in-the-wild.

Qualcomm GPU: CVE-2021-1905, CVE-2021-1906
ARM Mali GPU: CVE-2021-28663, CVE-2021-28664https://t.co/mT8vE2Us74

— Maddie Stone (@maddiestone) May 19, 2021

Dwie luki występują w procesorach graficznych SoC Qualcomm w setkach chipsetów, w tym najnowszych obsługujących 5G, takich jak Snapdragon 768G i Snapdragon 888. Pozostałe dwie dotyczą sterownika jądra dla procesorów graficznych ARM Mali (używanego w milionach urządzeń z Androidem) – ich znaczenie jest nie do przecenienia, ponieważ pozwalają atakującemu przejąć pełną kontrolę nad smartfonem.

Użytkownicy smartfonów Google Pixel powinni już mieć możliwość zainstalowania łatki, aby zmniejszyć ryzyko, ale wszyscy inni będą musieli poczekać, aż Samsung, Motorola, Nokia, LG, OnePlus i inni producenci urządzeń z Androidem wydadzą aktualizacje. Jak zapewne się domyślacie, może to trochę potrwać…

Na pocieszenie: spekuluje się, że cztery luki w zabezpieczeniach mogłyby zostać wykorzystane najpewniej jedynie przez podmioty sponsorowane przez państwa, które chciałyby wydobyć prywatne informacje od kluczowych ze strategicznego punktu widzenia podmiotów lub organizacji.

Źródło: Google