QualcommのSnapdragonに400個超の脆弱性…… かなりの大規模で深刻な模様。

セキュリティ ひとりごと
PC Watchの記事である。


CVEの番号を一つ調べて見たが、割当て済みではあるが、内容は示されていないようだ。即ち、まだ対策は取られていないか、別のものに内包する予定なのかも知れない。

海外サイトではThreatpostでこれに関する記事があり、2月～3月頃にQualcomm側には通知していたようだ。ただ、現時点でこのパッチは存在しておらず、今後Google Playなどからアップデートの提供が可能になる可能性を示唆していたようだ。その結果、チェックポイント（今回脆弱性を見つけた事業者）側で詳細の公開を延期しているようだ。尚、攻撃が確認されたことはないそうだ。

しかし、400種類の攻撃を6つの脆弱性でというのは、かなり厳しいものがある。
Postの記事を見る限り、Qualcomm Devで提供されいているQualcomm SDK（Hexagon SDK/neural Processing SDK)から、ファームウェアにある脆弱性やコンピュートDSPの特権昇格攻撃のコードを探し出したようだ。その結果、Hexagonのほとんど全ての製品において、この脆弱性が有効であることが分かったらしい。

ちなみに、この攻撃をされた場合、工場出荷時にリセットしない限り、永続的にDoS攻撃状態を維持出来、音声やセンサー処理の内容を漏洩させることも可能になるようだ。さらに、スマホのカーネルを永続停止することも出来るようだ。さらに、ウィルス対策ソフトではこの攻撃コードを駆除することは出来ない（ファーム上の攻撃コードはOS側から見えないため）し、利用者も感づくことは出来ないようだ。

尚、QualcommのDSPはDSPという名が付いているが、実際はコンピュート処理の多くを行っており、AdrenoやCamera Engine（ISP）の足りない部分を補う存在である。だから、いわゆるCompute DSPと呼ばれている。そのため、動画撮影の映像や音声系（通話音声を含む）処理などでその影響が出やすい。また、AI系をDSPに持たせていたのも、この脆弱性に関して言えば、危険性を広げている可能性もある。


怖いのはこういう脆弱性は1度見つかりはじめると、研究者がその脆弱性パターンを探り始めて、次から次に類似の攻撃パターンが見つかるパターンである。ハードウェア脆弱性で最も怖いのかここだ。Intelはそれに嵌まって、まだ抜け出せていないことからも分かる。
Qualcommもこれからそこに嵌まる可能性があるのが、心配だ。

出来れば短期間で解消することを願うが、内容を見る限り、全体に影響を及ぼすなら、ある程度古い製品も含めて全てで更新を行う必要があると思われるため、暫く掛かるかも知れない。それまで、攻撃が行われないことを祈る。後は、どの世代までアップデートを提供してくれるのかだろう。Intelのように5年とかそういう単位で供給することはないだろうが、この時点でまだAOSP保守（メーカー側で保守を与えるかは別）があるAndroid 8程度ぐらいまでは更新する必要があると思うが……。楽ではないだろう。



この記事へのコメント

コメントを書く

この記事へのトラックバック