歡迎登入資安人
若您還不是會員,請點選下方加入會員
忘記密碼
加入資安人會員
登入
新聞
觀點
專題
解決方案
活動
訂閱電子報
資安人粉絲團
聯絡我們
關於我們
合作詢問
隱私權政策
香港商法蘭克福展覽有限公司台灣傳媒分公司
110 台北市信義區市民大道六段288號8F
886-2-8729-1099
新聞
觀點
專題
解決方案
活動
訂閱電子報
登入
登入
訂閱電子報
新聞
觀點
專題
解決方案
活動
新聞
您現在位置 : 首頁 >
新聞
Check Point Research:全球三分之二 Android 使用者恐面臨隱私洩露風險
2022 / 04 / 28
編輯部
Check Point® Software Technologies Ltd. 的威脅情報部門 Check Point Research 於高通(Qualcomm)和聯發科(MediaTek)的音訊解碼器(Audio Decoder)中發現漏洞。此漏洞是基於一個 Apple 11 年前開源的程式碼;若未及時修補,攻擊者將能夠遠端存取媒體和對話音訊,或透過惡意遠端程式碼執行(RCE)威脅全球三分之二的行動裝置。
Apple 開發的保真壓縮音訊編解碼器(Apple Lossless Audio Codec,ALAC)是一種音訊編碼格式,於2004 年首次推出,用於數位音樂的保真音訊壓縮,並於 2011 年底開源。ALAC 格式自此被應用於許多非 Apple 音訊播放設備和程式中,包括 Android 智慧型手機、Linux 和 Windows 媒體播放器及轉換器。此後 Apple 多次更新並修補其私有版本的解碼器,但開源版本自 2011 年以來就未再更新;Check Point Research 團隊發現,高通和聯發科都在其音訊解碼器中採用了含有安全漏洞的 ALAC。
此漏洞可能被攻擊者用於遠端程式碼執行,透過異常音訊檔對行動裝置發起攻擊;此類型漏洞影響層面廣,包含惡意軟體執行和攻擊者能成功控制使用者的多媒體資料,例如能串流受攻擊裝置的攝影畫面等。此外,權限較低的 Android 應用程式可利用這些漏洞提升權限,並存取使用者的媒體資料和對話紀錄。
Check Point Research 逆向工程和安全研究部 Slava Makkaveev 指出:「這組漏洞能讓攻擊者在全球三分之二的行動裝置上遠端執行及提升權限,且這些漏洞很容易被利用,受害者只要播放攻擊者傳送的一首歌曲(媒體檔案),惡意程式碼便能成功注入權限較高的媒體服務中。攻擊者將能看到使用者在手機上查找的資訊;而在 Check Point Research 的概念驗證(PoC)中,我們也證實能夠直接串流受害手機的攝影畫面。手機中最敏感資訊是包含音訊及視訊等的媒體服務,而攻擊者竟能透過此漏洞成功竊取這些資訊,其中易受攻擊的解碼器正是源自於 Apple 11年前開源的程式碼。」
Check Point Research 已向聯發科和高通揭露相關資訊,並與這兩家廠商密切合作,確保這些漏洞得以盡快修復。聯發科將漏洞命名為 CVE-2021-0674 和 CVE-2021-0675,目前這些漏洞已修復,並發佈在 2021 年 12 月聯發科產品安全佈告欄中;高通則在 2021 年 12 月高通安全佈告欄中發佈了 CVE-2021-30351 的修補程式。
Check Point Software 建議使用者可依循 Google 每月發佈的安全性公告更新手機。
Check Point
漏洞
高通
聯發科
ALAC
RCE
CVE-2021-0674
CVE-2021-0675
CVE-2021-30351
PoC
最新活動
2025.07.18
2025 政府資安高峰論壇
2025.07.09
AI應用下的資安風險
2025.07.10
防毒、EDR、MDR 到底差在哪?從真實攻擊情境看懂端點防護的導入路線圖
2025.07.18
零信任與網路安全架構
看更多活動
大家都在看
資安署25年5月資安月報:情資蒐整量暴增 HiNet冒名釣魚攻擊現蹤
「LapDogs」殭屍網路鎖定小型辦公室與家用設備!藉ShortLeash後門進行網路間諜活動
勒索軟體攻擊手法升級:Python腳本結合Microsoft Teams釣魚成新威脅
Citrix緊急修補NetScaler重大漏洞 CVE-2025-6543遭攻擊者大規模利用
美國CISA新增三個高風險漏洞至KEV,AMI MegaRAC漏洞遭大規模利用
資安人科技網
文章推薦
BitoPro疑遭北韓駭客攻擊 損失約3.2億台幣加密貨幣
超過 200 個針對遊戲玩家和開發者的惡意 GitHub 程式庫攻擊活動曝光
報告:量子風險時代開始,企業應建立「密碼學敏捷性」