聯發科曝“竊聽漏洞”,影響全球37%的智慧裝置

語言: CN / TW / HK

據the hacker news訊息,聯發科晶片被曝出在AI 和音訊處理元件中存在安全漏洞,攻擊者可以利用該漏洞提升本地許可權,並在音訊處理器的韌體中執行任意程式碼。這意味著,所有使用了聯發科晶片的智慧裝置都有可能受影響,甚至在使用者不知情的情況下“被大規模竊聽”。

2021年11月,以色列網路安全公司 Check Point Research通過對音訊數字訊號處理器 ( DSP ) 進行逆向工程後發現了這個漏洞。隨後,研究人員發現,該漏洞還可以和聯發科其他的漏洞進行組合,最終可使得黑客提升 Android 應用程式本地許可權,甚至可以在在音訊 DSP 晶片上隱藏惡意程式碼。

雖然 Check Point Research 和聯發科方面都未披露受影響晶片的確切列表,但相關漏洞似乎影響了天璣(Dimensity)全系 SoC —— 包括 Helio G90 / P90 等晶片組、甚至波及“Tensilica”APU 平臺。

具體受影響的晶片組包括MT6779、MT6781、MT6785、MT6853、MT6853T、MT6873、MT6875、MT6877、MT6883、MT6885、MT6889、MT6889、MT6891、MT6873、0709、0709、190900000000的Android版本。

Check Point Research表示,由於全球很多智慧裝置(約37%的智慧手機和物聯網裝置)都使用了聯發科的晶片,該漏洞很有可能引起黑客的注意,並以此發起大規模攻擊。

安全研究人員還在聯發科的音訊硬體抽象層(又名HAL)中發現的第四個問題(CVE-2021-0673),目前已經修復,預計將在2021 年 12 月的聯發科安全公告中釋出。

對於該漏洞,聯發科則表示,目前已經向所有的裝置製造商提供了漏洞修復措施,並且強調該漏洞並沒有被黑客利用。此外,聯發科建議使用者在第一時間內進行補丁升級,且儘量安裝來自可信賴的安卓應用商店的APP。

參考來源

https://thehackernews.com/2021/11/eavesdropping-bugs-in-mediatek-chips.html