Il gigante dei semiconduttori Qualcomm ha annunciato di aver corretto più di due dozzine di vulnerabilità critiche nei suoi prodotti, inclusi tre zero-day, che potrebbero essere stati sfruttati per campagne spyware.
Le vulnerabilità coinvolgono i driver GPU e Compute DSP della società e sono state scoperte, come recentemente avvenuto per Arm, da Google (TAG) e dai ricercatori di Project Zero, che hanno prontamente informato Qualcomm.
Indice degli argomenti
Tre vulnerabilità erano attivamente sfruttate
Google ha informato Qualcomm che alcune delle vulnerabilità scoperte, identificate con i numeri CVE-2023-33106, CVE-2023-33107, CVE-2023-33063 e CVE-2022-22071, “potrebbero essere oggetto di sfruttamento limitato e mirato”. Tuttavia, vale la pena notare che solo tre di queste vulnerabilità sono state classificate come zero-day, in quanto CVE-2022-22071 era stato corretto da Qualcomm già a maggio.
Queste vulnerabilità avevano il potenziale di mettere a rischio la privacy degli utenti e i dati sensibili. La CVE-2022-22071 appunto, era stata scoperta già nel maggio 2022 come un “bug localmente sfruttabile”, dopo che un exploit aveva interessato chip popolari come SD855, SD865 5G e SD888 5G.
Altre vulnerabilità rilevate da Qualcomm includono CVE-2023-33063 e molti altri, ma la società non ha fornito ulteriori dettagli su queste vulnerabilità, promettendo di rivelare ulteriori informazioni nel suo prossimo bollettino di sicurezza previsto per dicembre 2023.
Sebbene non siano state rese pubbliche informazioni dettagliate sugli attacchi che sfruttavano queste vulnerabilità, il coinvolgimento di Google suggerisce che potrebbero essere stati utilizzati da fornitori di spyware commerciali. Google ha precedentemente condotto indagini su diverse catene di exploit attribuite a tali fornitori di spyware, dimostrando il loro interesse nell’infiltrare dispositivi con Android o iOS, che spesso includono chip Qualcomm.
La stragrande maggioranza delle restanti vulnerabilità rilevate e corrette questa settimana da Qualcomm è stata valutata con gravità “critica” e “alta” e scoperta internamente dall’azienda. La maggior parte di queste vulnerabilità riguarda i modem, il firmware WLAN e i prodotti automobilistici, e sono state identificate come bug di memoria e problemi di divulgazione di informazioni. I bug di memoria, in particolare, rappresentano un serio rischio poiché possono consentire l’esecuzione di codice arbitrario o causare negazioni del servizio (attacchi DoS).
In dettaglio, Qualcomm ha rilasciato correzioni per tre vulnerabilità critiche che potevano essere sfruttate da remoto. Queste includono:
CVE-2023-24855: descritta come vulnerabilità nel componente modem che poteva portare al danneggiamento della memoria durante la gestione delle configurazioni relative alla sicurezza. Questa vulnerabilità è stata valutata con un punteggio CVSS v3.1 di 9.8 su 10.
CVE-2023-28540: un problema di crittografia nel componente modem dati dovuto a un’autenticazione errata durante l’handshake TLS. Questa vulnerabilità ha ricevuto un punteggio CVSS v3.1 di 9.1 su 10.
CVE-2023-33028: una vulnerabilità nel firmware WLAN che comportava il danneggiamento della memoria quando si copiava la cache pmk senza eseguire un controllo delle dimensioni. Questa vulnerabilità è stata valutata con un punteggio CVSS v3.1 di 9.8.
Oltre a queste vulnerabilità, Qualcomm ha corretto 13 difetti gravi e altre tre vulnerabilità critiche scoperte dai suoi ingegneri. Qualcomm ha rilasciato aggiornamenti di sicurezza per risolvere questi problemi e ha informato gli OEM interessati, che devono a loro volta trasmettere queste correzioni ai consumatori finali attraverso i canali OEM.
Teniamo sempre aggiornati i dispositivi
La risposta di Qualcomm a queste vulnerabilità è stata pronta, con l’azienda che ha rilasciato patch di sicurezza per correggere tali problemi. Tali correzioni sono state fornite agli OEM interessati, che sono responsabili di distribuirle ai consumatori finali attraverso i canali OEM.
La sicurezza dei dispositivi mobili è una preoccupazione crescente, e le azioni di Qualcomm nel risolvere queste vulnerabilità riflettono l’importanza della protezione della privacy e dei dati degli utenti.
Gli utenti sono fortemente incoraggiati a installare gli aggiornamenti di sicurezza più recenti per mantenere i propri dispositivi al sicuro da potenziali minacce informatiche.
