Qualcomm chip sårbarheder til fare for millioner af Android-enheder

Check Points eksperter konstateret, at sårbarheder i Qualcomm Sikker udførelse miljø fare for millioner af Android-enheder. Sårbarheder tillader hackere at stjæle kritiske data lagret i beskyttede dele af indretningen.

Qualcomm Sikker Execution Environment (QSEE) er en implementering af Trusted Execution Environment (TEE) baseret på ARM TrustZone teknologi. faktisk, det er en hardware-isoleret område af processoren, som beskytter vigtige data og har et sikkert miljø for at køre betroede applikationer, der er isoleret fra hinanden. Så, i QSEE, Som regel, private krypteringsnøgler, adgangskoder, oplysninger bankkort og så videre er indeholdt.

"I dag, ARM TrustZone er en integreret del af alle moderne mobile enheder. Som det ses på Android-baserede Nexus / Pixel telefoner, TrustZone komponenter er integreret i bootloader, radio, leverandør og system Android-billeder”, - rapport Tjek Punkt specialister.

QSEE er baseret på princippet om mindst privilegium, så normale verden systemmoduler (drivere og programmer) kan ikke få adgang beskyttede områder unødigt, selv om de har root adgang. på tur, adgang til data i sikker verden er næsten umuligt.

imidlertid, Check Point analytikere var i stand til at identificere en række problemer efter flere måneder at studere de populære kommercielle implementeringer af TEE, inklusive:

  • QSEE, bruges på Pixel, LG, Xiaomi, Sony, HTC, OnePlus, Samsung og mange andre;
  • Trustronic Kinibi, bruges på Samsung-enheder i Europa og Asien;
  • HiSilicon kerne anvendes på de fleste Huawei enheder.

Som resultat, efter fnugdannelse ansøgning, blev opdaget følgende sårbarhed:

  • dxhdcp2 (LVE-SMP-190 005)
  • sec_store (ALL-2019-13.952)
  • authnr (ALL-2019-13.949)
  • esecomm (ALL-2019-13.950)
  • kmota (CVE-2019-10.574)
  • tzpr25 (Problemet er anerkendt af Samsung)
  • prov (Motorola arbejder på en rettelse)

Forskere siger, at problemerne i QSEE, kombineret med exploits til gamle svagheder (herunder CVE-2015-6639 og CVE-2016-2431), tillade angribere at køre betroede programmer på den normale verden niveau, launch ”lokket” trustlets i sikker verden, og bypass Qualcomm Chain Of Trust mekanisme, og endda tilpasse betroede ansøgninger til arbejde på enheder fra andre producenter.

Læs også: Malware i populære Android-tastatur kunne koste brugere $18 million

Virksomheden advarede producenter af problemer tilbage i juni i år, og i henhold til Check Point, hidtil Samsung har allerede fastsat tre af de fire sårbarheder. LG har løst et problem, og Motorola har kun meddelt, at den agter at frigive en patch (selv om selskabet sagde, at de rettelser er allerede klar, og udgivet som en del af plastret niveau 2017-04-05 og 2019-05-05 til Android). repræsentanter Qualcomm, på tur, fortalte medierne at sårbarheden CVE-2019-10.574 blev fastsat i oktober i år, og fejlen relateret til Widevine blev fuldstændig fast tilbage i 2014.

Polina Lisovskaya

Jeg har arbejdet som marketingchef i årevis nu og elsker at søge efter interessante emner for dig

Efterlad et Svar

Tilbage til toppen knap