Android被爆安全漏洞 根源是苹果的无损音频编解码器

近日 Android 设备被爆存在安全漏洞，但根源来自于苹果的无损音频编解码器（ALAC）。目前，美国市场 95% 的 Android 设备来自于高通和联发科，安全公司 Check Point 指出尚未安装 2021 年 12 月 Android Security Patch 的设备都存在“Out-of-Bounds”安全漏洞，容易被黑客控制。

该漏洞存在于 ALAC 中，它通常被称为苹果无损音频编解码器。ALAC 是苹果公司早在 2004 年就推出的一种音频格式。顾名思义，该编解码器承诺在互联网上提供无损音频。

虽然苹果公司设计了自己的 ALAC 专利版本，但存在一个开源版本，高通公司和联发科在Android智能手机中依赖该版本。值得注意的是，这两家芯片组制造商都在使用一个自 2011 年以来没有更新过的版本。

在一篇试图解释安全漏洞的博客文章中，Check Point写道：

我们的研究人员发现的 ALAC 问题可以被攻击者用来通过畸形的音频文件对移动设备进行远程代码执行攻击（RCE）。RCE 攻击允许攻击者在计算机上远程执行恶意代码。RCE 漏洞的影响范围很广，从恶意软件的执行到攻击者获得对用户多媒体数据的控制，包括从被攻击机器的摄像头中获得流媒体。

高通公司一直在用 CVE 识别标签 CVE-2021-30351 追踪该漏洞，而联发科则使用 CVE ID CVE-2021-0674 和 CVE-2021-0675。撇开技术术语不谈，开源版苹果无损检测中的漏洞可被无特权的Android应用利用，将其系统权限升级到媒体数据和设备麦克风。这基本上意味着应用程序不仅可以窃听电话交谈，还可以窃听附近的谈话和其他环境声音。