Ott 05, 2023 Attacchi, In evidenza, News, Prodotto, RSS, Vulnerabilità

Qualcomm ha rilasciato degli aggiornamenti di sicurezza per 17 vulnerabilità presenti nei propri prodotti, tre delle quali considerate critiche. La compagnia ha inoltre reso nota la presenza di vulnerabilità zero-day sfruttate attivamente dagli attaccanti.

Le tre vulnerabilità critiche sono la CVE-2023-24855, la CVE-2023-28540 e la CVE-2023-33028, rispettivamente con punteggi di 9.8, 9.1 e 9.8 nella scala CVSS. La prima è un bug di Out-of-range Pointer Offset in Modem, un vulnerabilità di Memory Corruption che permette agli attaccanti di eseguire codice arbitrario.

La seconda vulnerabilità colpisce Data Modem ed è causata da un problema crittografico dovuto a un processo errato di autenticazione durante il TLS handshake, mentre l’ultima è un bug di Memory Corruption nel Firmware WLAN che si presenta quando si esegue la memorizzazione della cache pmk.

Al momento non ci sono indizi sullo sfruttamento di queste vulnerabilità da parte degli attaccanti. Qualcomm ha invitato gli utenti ad aggiornare i dispositivi il prima possibile.

La compagnia ha anche avvertito i propri clienti dell’esistenza di tre nuove vulnerabilità 0-day che sembrano essere sfruttate attivamente dagli attaccanti, anche se in modo limitato: Google Threat Analysis Group e Google Project Zero hanno individuato la CVE-2023-33106, la CVE-2023-33107 e la CVE-2023-33063.

I bug colpiscono i driver di Adreno GPU, chip per dispositivi mobili, e di Compute DSP. Al momento non ci sono ulteriori informazioni sulla natura delle vulnerabilità; Qualcomm le renderà pubbliche nel bollettino di sicurezza di dicembre, ma ha già contattato i produttori per condividere con loro i dettagli delle patch.

Secondo i team di Google, gli attaccanti starebbero sfruttando anche una vecchia vulnerabilità, la CVE-2022-22071, presente nel bollettino di sicurezza Qualcomm di maggio 2022. Si tratta di un bug use-after-free presente Snapdragon Auto, Snapdragon Compute, Snapdragon Connectivity, Snapdragon Consumer IOT; Snapdragon Industrial IOT, Snapdragon Mobile e Snapdragon Voice&Music.

La compagnia ha quindi rinnovato l’invito ad applicare le patch di sicurezza anche per questa vulnerabilità, risolta più di un anno fa.

• patch sicurezza, Qualcomm, snapdragon, Use-After-Free, vulnerabilità, Zero-day