Компанія Qualcomm випустила виправлення для вразливості нульового дня CVE-2024-43047 (7,8 бала за шкалою CVSS) у Digital Signal Processor (DSP). Проблема зачіпає десятки чіпсетів і була виявлена експертами Google Project Zero і Amnesty International.

ІБ-фахівці пояснили, що вразливість належить до типу use-after-free і може призвести до пошкодження інформації в пам’яті в разі успішної експлуатації локальними зловмисниками (навіть із низькими привілеями).

Як повідомила Qualcomm в опублікованому цього тижня бюлетені безпеки, експерти Google TAG і Amnesty International виявили, що вразливість уже експлуатують зловмисники. Про які саме атаки йдеться поки що невідомо. Але варто зазначити, що обидві дослідницькі групи спеціалізуються на 0-day вразливостях, які застосовують у складних шпигунських атаках, націлених на журналістів, опозиційних політиків, дисидентів тощо.

“За даними Google Threat Analysis Group, CVE-2024-43047 може піддаватися обмеженій і цілеспрямованій експлуатації, – попередили в Qualcomm. – Патчі для цієї проблеми, що зачіпають драйвер FASTRPC, уже надано OEM-виробникам, і настійно рекомендується якомога швидше встановити оновлення на зачеплені пристрої”.

Відомо, що проблема зачіпає понад 60 чипсетів, включно з продуктами серій FastConnect, QCA, QCS, Video Collaboration, SA, SD, SG, Snapdragon, SW, SXR, WCD, WCN і WSA. Зокрема, уразливі Snapdragon 660 і новіші моделі, 5G-модеми Qualcomm, а також Wi-Fi/Bluetooth-кіти FastConnect 6700, 6800, 6900 і 7800.

Крім цієї вразливості нульового дня Qualcomm усунула ще 19 помилок у своїх продуктах. Серед цих проблем можна відзначити критичний баг CVE-2024-33066 (9,8 бала за шкалою CVSS), пов’язаний із некоректною валідацією input’а в менеджері ресурсів WLAN.