Check Point Research は最近、Apple Lossless Audio Codec の脆弱性を明らかにし、Android ユーザーの大半が危険にさらされている。

Check Point Research のレポートによると、Apple Lossless Audio Codec (ALAC) (Apple Lossless とも呼ばれる) には現在、攻撃者が Android ユーザーのメディア音声会話にリモート アクセスする可能性がある脆弱性があるようです。

同社によると、世界最大のモバイルチップセットメーカー2社、MediaTekとQualcommが、広く普及しているモバイル端末にALACオーディオコーディングを使用しているとのことです。両社は脆弱性を認識し、パッチと修正プログラムを提供しています。

AppleオーディオコーデックとAndroidの脆弱性

Check Point ResearchはMediaTekおよびQualcommと協議中であることに留意してください。Check Point Researchは関係者全員に情報を提供し、問題解決に向けて協力して取り組んでいます。

Check Point Researchは、攻撃者がリモートコード実行攻撃（RCE）に利用できる可能性のある脆弱性を発見したと発表しました。これは、不正な音声ファイルを介してモバイルデバイス上で実行される可能性があります。RCE攻撃では、攻撃者がリモートアクセスを取得し、電子機器上で悪意のあるコードを実行します。RCEの脆弱性は、マルウェアの実行から、攻撃者が被害者のマルチメディアデータを制御することまで、多岐にわたります。これには、侵害されたマシンのカメラからのストリーミングも含まれます。

Apple Lossless Audio Codec (Apple Lossless とも呼ばれる) は、2004 年に Apple が導入したオーディオ コーディング形式です。デジタル音楽におけるロスレス データ圧縮の手段です。

2011年後半、Appleはこのコーデックをオープンソース化しました。これにより、ALACはApple以外の多くのオーディオ再生デバイスやプログラムに組み込まれるようになりました。これにはAndroidスマートフォン、LinuxおよびWindowsのメディアプレーヤーやコンバーターが含まれます。

アップデートの実行

Appleはコーデックのソースコードを公開した後、独自バージョンのデコーダーを複数回アップデートしてきました。セキュリティ問題に対する修正やパッチは適用してきましたが、共有コードには2011年以降パッチが適用されておらず、これが問題の原因となっています。複数のサードパーティベンダーが、Appleのコードをベースとして独自のALAC実装を行っていますが、その多くは外部コードをメンテナンスしていません。

調査によると、QualcommとMediaTekの両社が、脆弱性のあるALACコードを自社のオーディオデコーダーに移植しています。これらのデコーダーは、世界中のスマートフォンの半数以上に搭載されています。International Data Corporationによると、2021年第4四半期時点で、米国で販売されているAndroidスマートフォンの48.1%にMediaTek製のコンポーネントが搭載されています。一方、Qualcommは市場シェアの47%を占めています。

この研究の詳細な技術的詳細は、2022年5月18日から20日まで開催されるCanSecWestカンファレンスにてCheck Point Researchから発表されます。