CVE-2020-11138

Podczas przetwarzania nieprawidłowego strumienia bitów audio (bit stream) system alokuje pamięć na stercie (heap), jednak wskaźniki do tej pamięci pozostają niezainicjowane. Próba dostępu do tych niezainicjowanych wskaźników (CWE-824) skutkuje niezdefiniowanym zachowaniem — pamięć może zawierać dowolne wartości, co otwiera możliwość manipulacji przepływem wykonania programu. Błąd dotyczy wielu platform Qualcomm, w tym urządzeń mobilnych, IoT, przemysłowych i noszonej elektroniki.

Atakujący może doprowadzić do niestabilności lub awarii systemu (DoS), a w sprzyjających warunkach — do wykonania dowolnego kodu (RCE) w kontekście komponentu audio poprzez spreparowany strumień bitów.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — biuletyn bezpieczeństwa Qualcomm z grudnia 2020 r. (https://www.qualcomm.com/company/product-security/bulletins/december-2020-bulletin). Producenci urządzeń OEM powinni wdrożyć zaktualizowane oprogramowanie układowe i udostępnić stosowne aktualizacje dla użytkowników końcowych.

Układy Qualcomm z rodziny Snapdragon: APQ8009, APQ8009W, APQ8017, APQ8030, APQ8037 oraz inne układy z platform Snapdragon Auto, Compute, Connectivity, Consumer IOT, Industrial IOT, IoT, Mobile, Voice & Music, Wearables, Wired Infrastructure and Networking — wersje wskazane w referencjach producenta (biuletyn bezpieczeństwa Qualcomm, grudzień 2020)

Podatność została ujawniona w biuletynie bezpieczeństwa Qualcomm z grudnia 2020 r., a jej publiczna rejestracja nastąpiła 21 stycznia 2021 r. Wektor sieciowy (AV:N) przy podatności audio może sugerować możliwość dostarczenia złośliwego strumienia bitów przez sieć (np. streaming).