Vulnerabilidades relacionadas con el códec ALAC ponen en riesgo a 2 de cada 3 dispositivos móviles

Check Point ha identificado y ayudado a parchear vulnerabilidades en los descodificadores de audio de los fabricantes de chips Qualcomm y MediaTek.

Los fallos de seguridad estaban relacionados con el formato de codificación de audio Apple Lossless Audio Codec (ALAC) que Apple lanzó como open source en 2021. Aunque la compañía de la manzana mordida ha seguido actualizando la versión propietaria, el código compartido e integrado en dispositivos con sistemas operativos como Android, Linux o Windows no había sido parcheado en estos últimos once años.

Los investigadores detectaron que tanto Qualcomm como MediaTek habían estado usando código ALAC vulnerable en sus decodificadores. Tras comunicar sus hallazgos, ambas compañías realizaron correcciones.

De no haber aplicado los parches, Check Point calcula que estos agujeros de seguridad habrían permitido la ejecución remota de código en dos tercios de los dispositivos móviles a nivel mundial a través de archivos de audio erróneos. Esto implicaría dar acceso a conversaciones y archivos multimedia, incluyendo el control de la transmisión desde la cámara.

Las vulnerabilidades eran “fácilmente explotables” y “podrían utilizarse para la ejecución remota y la escalada de privilegios”, ratifica Eusebio Nieva, director técnico de Check Point Software para España y Portugal. “Un ciberdelincuente podría haber enviado una canción (archivo multimedia) y, si una víctima potencial la reprodujera, se inyecta un código malicioso en el servicio multimedia. Además, el atacante podría haber accedido a lo que el usuario del dispositivo móvil ve en su teléfono”.

“En nuestra prueba de concepto, pudimos robar el streaming de la cámara del teléfono. ¿Cuál es la información más sensible de los teléfonos? El audio y los vídeos”, apunta Nieva. Y “un atacante podría robarlos a través de estas vulnerabilidades”.