高通公司近日披露了一個嚴重漏洞，CVE-2023-33025允許透過 LTE 網路上的惡意語音通話進行遠端攻擊。
2024 年1月的安全公告共列出了影響高通晶片組的 26 個漏洞，其中包括 4 個嚴重漏洞。修補程式已經提供給使用高通晶片的原始設備製造商 (OEM)。
CVE-2023-33025，CVSS 評分為 9.8，是典型的緩衝區溢位缺陷，導致資料調變解調器中的記憶體損壞，當會話描述協定 (SDP) 主體不標準時，在 LTE 語音 (VoLTE) 通話期間會發生這種情況。
SDP 通常透過標準化格式提供某些會話、媒體、定時和網路資訊來幫助促進兩個裝置之間的連接以進行通訊會話，例如 VoLTE 呼叫。
如果遠端攻擊者可以使用自己的內容操縱 SDP 主體並發起調用，其中惡意 SDP 由接收裝置的資料調變解調器處理，則攻擊者可以利用調變解調器中的記憶體損壞進行遠端程式碼執行 (RCE)。
高通發言人表示，這種攻擊利用很難實現，因為攻擊者需要控制 LTE 網路本身才能進行攻擊。因此，建議用戶僅連接到安全、可信任的 LTE 網路。
CVE-2023-33025 影響多種高通晶片組，包括 Snapdragon 680 和 Snapdragon 685 4G 行動平台。這些晶片用於一系列智慧型手機和平板電腦，包括三星 Galaxy、摩托羅拉 Moto 以及華為 Enjoy 和 Nova 產品系列中的型號。較新的 Snapdragon X65 5G 數據機和 Snapdragon X70 數據機射頻系統也受到影響。
OEM 已於 2023 年 7 月 7 日收到有關CVE-2023-33025通知，讓他們在漏洞披露前約六個月內更新系統。高通並表示CVE-2023-33025 將包含在2024 年 1 月Android 安全公告中。
其他嚴重錯誤可能導致永久性 DoS本地攻擊
三個本地存取漏洞也被標記為嚴重，其中一個可能導致永久性 DoS，另外兩個會導致記憶體損壞。
- CVE-2023-33036被 Qualcomm 自己評為關鍵安全等級，CVSS 評分7.1。當空指標解引用(NULL pointer dereferencing)時，CVE-2023-33036會導致虛擬機器管理程式軟體永久中斷。問題源自於不受信任的虛擬機器，在缺乏PSCI (Power State Coordination Interface ) 介面支持下進行 PSCI 呼叫（即與電源管理相關的請求）。該漏洞影響了 100 多個晶片組，其中包括 Snapdragon 系列中的許多晶片組。
- CVE-2023-33030，CVSS 評分 9.3，是另一個緩衝區溢位錯誤。在執行 Microsoft PlayReady時，會導致高階作業系統 (HLOS) 記憶體損壞。此漏洞影響 200 多個晶片組，從智慧型手機和電腦晶片到穿戴式裝置和其他物聯網裝置中使用的晶片組。
- CVE-2023-33032 的CVSS 分數也為 9.3，是一個整數溢位或環繞缺陷。當從可信任應用程式 (TA) 區域請求記憶體分配時，ARM TrustZone 安全作業系統中可能會發生記憶體損壞。此缺陷影響超過 100 個高通晶片組。
高通建議受漏洞影響設備用戶，盡快聯繫設備製造商取得修補狀態的資訊並安裝可用的更新。
本文轉載自SCMedia。