Miliony smartfonów z poważnymi błędami w procesorach. Przestępcy już z nich korzystają

Qualcomm wydał 20 poprawek zabezpieczających dla oprogramowania swoich procesorów, z których jedna dotyczy poważnej luki w Digital Signal Processor (DSP). Ta oznaczona została jako CVE-2024-43047 i była już wykorzystywana w praktyce, co sprawia, że jest szczególnie niebezpieczna.

Poważna luka w procesorach Qualcomm

CVE-2024-43047 uzyskała wynik 7,8 na 10 w skali CVSS, co oznacza, że stanowi relatywnie wysokie ryzyko. Luka ta została zgłoszona przez zespół Project Zero firmy Google oraz testerów kodu z organizacji Amnesty International. Zaangażowanie tej drugiej sugeruje, że luka mogła być wykorzystywana przez atakujących działających na zlecenie państw lub sprzedawców oprogramowania do inwigilacji.

Qualcomm wydał 20 poprawek zabezpieczających dla oprogramowania swoich procesorów, z których jedna dotyczy poważnej luki w Digital Signal Processor (DSP).

Według Qualcomm, exploit może być wykorzystywany w ograniczonych, celowanych atakach. Firma poinformowała, że problem dotyczy sterownika FASTRPC i udostępniła poprawki dla producentów urządzeń (OEM) z zaleceniem, aby wdrożyli je jak najszybciej. Oznacza to, że użytkownicy powinni zwracać uwagę na nadchodzące aktualizacje i możliwie szybko je instalować, aby zabezpieczyć swoje urządzenia.

CVE-2024-43047 dotyczy szerokiej gamy chipsetów Qualcomm, w tym modeli Snapdragon 660 i nowszych, modemów 5G oraz zestawów Wi-Fi/Bluetooth FastConnect 6700, 6800, 6900 i 7800.

Inne poważne luki

Poza CVE-2024-43047, Qualcomm wydał także poprawki dla 19 innych luk. Jedną z najpoważniejszych jest CVE-2024-33066, która dotyczy niewłaściwej walidacji danych wejściowych w menedżerze zasobów WLAN i uzyskała bardzo wysoką ocenę CVSS 9.8. Na szczęście, jak dotąd nie odnotowano, aby ta luka została wykorzystana w atakach.

Qualcomm zwrócił również uwagę na dwie inne luki o wysokim poziomie zagrożenia: CVE-2024-23369 oraz CVE-2024-33065. Ta druga, oceniona na 8.4 w skali CVSS, dotyczy korupcji pamięci w sterowniku kamery. Z kolei CVE-2024-23369 to podobny problem związany z pamięcią, który wpływa na system operacyjny urządzenia.

Pozostałe poprawki

Qualcomm wydał także dwie poprawki dla luk o średnim stopniu zagrożenia. Z kolei 14 pozostałych poprawek obejmuje dziewięć luk o wysokim stopniu zagrożenia i pięć o średnim. Siedem z nich dotyczy operacji WLAN, trzy naprawiają problemy w serwisie DSP, a pozostałe obejmują różnorodne łatki kodu, z których niektóre były zidentyfikowane już rok temu, ale dopiero teraz zostały naprawione.