CVE-2020-11170

Błąd wynika z nieprawidłowej weryfikacji danych w trakcie ekstrakcji nagłówków plików Vorbis podczas odtwarzania muzyki. Atakujący może dostarczyć spreparowany plik audio Vorbis, który podczas przetwarzania powoduje odczyt danych spoza przydzielonego obszaru pamięci (out-of-bounds read/write). Brak odpowiednich kontroli granic bufora umożliwia nieprawidłowe operacje na pamięci, co może prowadzić do wykonania niezamierzonego kodu lub destabilizacji systemu.

Atakujący może uzyskać nieautoryzowany dostęp do danych w pamięci urządzenia, naruszyć integralność danych lub doprowadzić do awarii urządzenia (denial of service). W najgorszym scenariuszu możliwe jest wykonanie dowolnego kodu (RCE) na podatnym urządzeniu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami — Qualcomm February 2021 Product Security Bulletin (https://www.qualcomm.com/company/product-security/bulletins/february-2021-bulletin). Producenci urządzeń OEM powinni niezwłocznie wdrożyć aktualizacje firmware dla dotkniętych platform.

Oprogramowanie układowe (firmware) chipsetów Qualcomm z rodzin Snapdragon Auto, Snapdragon Compute, Snapdragon Connectivity, Snapdragon Consumer IOT, Snapdragon Industrial IOT, Snapdragon IoT, Snapdragon Mobile, Snapdragon Voice & Music, Snapdragon Wearables, Snapdragon Wired Infrastructure and Networking — w tym m.in. platformy APQ8009, APQ8009W, APQ8017; pełna lista podatnych układów wskazana w referencjach producenta

Podatność dotyczy szerokiego ekosystemu urządzeń opartych na chipsetach Qualcomm Snapdragon, obejmując kategorie od urządzeń mobilnych po przemysłowy IoT. Wektor ataku sieciowego (AV:N) bez wymaganych uprawnień (PR:N) i interakcji użytkownika (UI:N) oznacza, że samo odtworzenie spreparowanego pliku audio może wystarczyć do wywołania podatności.