تلفن‌های هوشمند اندرویدی و همچنین گوشی‌های هوشمندی که از آخرین نسخه‌های این سیستم عامل استفاده می‌کنند، همچنان از نظر امنیت در خطر هستند. یکی از دلایل عجیب این آسیب پذیری امنیتی، کدک صوتی ALAC است.
به گفته نیووین، کوالکام و مدیاتک روی هم حدود 95 درصد از دستگاه های اندرویدی در ایالات متحده را تشکیل می دهند. شرکت امنیتی Check Point اعلام کرده است که هر دستگاه اندرویدی که آخرین وصله امنیتی اندروید آن قبل از دسامبر 2021 متصل شده باشد، در حال حاضر در معرض آسیب‌پذیری‌های امنیتی است. این مشکل می تواند به هکرها اجازه دهد میلیون ها دستگاه اندرویدی مجهز به تراشه های کوالکام و مدیاتک را کنترل کنند.
این آسیب پذیری در ALAC قرار دارد و با نام Apple Lossless شناخته می شود. ALAC یک فرمت صوتی است که اپل در سال 2004 معرفی کرد. همانطور که از نام آن پیداست، هدف این فناوری ارائه صدا بدون افت کیفیت از طریق اینترنت است.
اگرچه اپل نسخه خود را از ALAC طراحی کرده است، اما یک نسخه منبع باز از کدک وجود دارد که کوالکام و مدیاتک برای گوشی های هوشمند اندرویدی به آن متکی هستند. جالب اینجاست که هم مدیاتک و هم کوالکام از نسخه‌هایی استفاده کرده‌اند که از سال ۲۰۱۱ به‌روزرسانی نشده‌اند.
چک پوینت در یک پست وبلاگ در مورد این مشکل امنیتی گفت:
مشکلات ALAC که محققان ما پیدا کرده اند می تواند توسط یک مهاجم برای حمله به اجرای کد از راه دور (RCE) تلفن همراه از طریق یک فایل صوتی استفاده شود. حملات RCE به مهاجم اجازه می دهد تا از راه دور کدهای مخرب را روی دستگاه مورد نظر اجرا کند. تأثیر آسیب‌پذیری RCE می‌تواند از بدافزار اجرا شده تا کنترل داده‌های چندرسانه‌ای کاربر، از جمله پخش جریانی از دوربین مهاجم به دستگاه آسیب‌دیده متغیر باشد.
کوالکام این آسیب‌پذیری را با CVE-2021-30351 شناسایی کرد، در حالی که MediaTek از CVE-2021-0674 و CVE-2021-0675 استفاده کرد. علاوه بر شرایط فنی، باگ موجود در نسخه منبع باز Apple Lossless می تواند توسط یک برنامه اندروید غیرمجاز برای دسترسی به داده های رسانه و میکروفون دستگاه استفاده شود. این اساساً به این معنی است که برنامه ها نه تنها می توانند تماس تلفنی برقرار کنند، بلکه صدا را در اطراف دستگاه مهاجم پخش می کنند.
مدیاتک و کوالکام پچ های نرم افزاری ویژه ای را برای این موضوع برای گوگل و همچنین برای سازندگان دستگاه های اندرویدی منتشر کرده اند. این اصلاحات باید از طریق به‌روزرسانی‌های امنیتی به دستگاه‌های اندروید ارسال شوند. اکثر دستگاه های اندرویدی باید این وصله امنیتی را تا دسامبر 2021 دریافت می کردند.
با این حال، لازم به ذکر است که برخی از دستگاه های اندرویدی ممکن است اصلاحات امنیتی منظم را دریافت نکرده باشند. این بدان معناست که همه تلفن‌ها و دستگاه‌های دارای اندروید که آخرین پچ امنیتی را قبل از دسامبر 2021 نصب کرده‌اند، در حال حاضر در معرض آسیب‌پذیری‌های امنیتی نسخه منبع باز اپل Lossless هستند. برای بررسی تاریخ وصله امنیتی، به تنظیمات دستگاه خود بروید و نسخه اندروید و نسخه وصله امنیتی را در قسمت اطلاعات دستگاه بررسی کنید.