To ud af tre Android-telefoner ramt af alvorlig sårbarhed

Med jævne mellemrum dukker sårbarheder, som rammer millioner af enheder, op. Denne gang er der dog tale om en af de mere alvorlige. Det er sikkerhedsfirmaet Check Point Research, der har opdaget en sårbarhed i lydformatet Apple Lossless Audio Codec (ALAC).

ALAC er et lydcodec udviklet af Apple tilbage i 2004, som i 2011 blev gjort open source. Siden er lydformatet blevet implementeret i blandt andet Android-smartphones. Apple har løbende opdateret sin egen, propræritære version af lydformatet, men den offentlige udgave er ikke blevet opdateret siden 2011. Sidstnævnte version har chipproducenterne Qualcomm og Mediatek anvendt i deres firmware.

Qualcomm og Mediatek er de to største producenter af SoC’s til smartphones, og ifølge analyseinstituttet Counterpoint Research er to tredjedele af alle smartphones solgt i 2021 sårbare over for sårbarheden, der er døbt ALHACK.

Læs også: It- og cybersikkerhed har aldrig været vigtigere end i dag

Kan få adgang til billeder, videoer og kamera

Konsekvenserne af sårbarheden er ganske alvorlige. Ifølge Check Point Research kan cyberkriminelle udnytte sårbarheden til at afvikle ondsindet kode uden at have fysisk adgang til telefonen – et såkaldt RCE. Det er dermed muligt at få adgang til brugernes billeder og film, og det er tilmed muligt at optage fra mobiltelefonens kamera uden brugerens viden.

“Vi har at gøre med et meget alvorligt sikkerhedshul. Dels fordi omfanget er meget stort, når man tænker på, at de rammer to tredjedele af alle mobiltelefoner i verden. Men i høj grad desværre også, fordi det har vist sig skræmmende let for en hacker at få adgang til brugernes personlige videoer og billeder ved at udnytte dette sikkerhedshul. Desuden har vores analytiker også opdaget, at det er muligt for cyberkriminelle at spionerer gennem kameraerne i brugernes telefoner, hvilket jo ikke er særlig betryggende,” fortæller Niels Zimmer Poulsen, der er Head of Security Engineering hos Check Point Software Technologies i Danmark.

Opdater straks din telefon

Efter opdagelsen orienterede Check Point straks MediaTek og Qualcomm, som har rettet sårbarheden i begge producenters firmware. Begge producenter udsendte rettelsen som en del af deres sikkerhedsopdateringer i december 2021.

“Efter vores analytikere opdagede sikkerhedshullet, henvendte vi os straks til MediaTek og Qualcomm, der har lukket hullet i de nyeste opdateringer. Det er dog brugeres eget ansvar at sikre, at man altid har opdateret sin Android-telefon med den seneste software, hvilket vi naturligvis opfordrer alle til at gøre.”

Mange ældre telefoner modtager sikkerhedsopdateringer i intervaller af to, tre eller seks måneder. Der er derfor stadig mange berørte Android-smartphones, som endnu ikke har modtaget sikkerhedsopdateringen, eller som er så gamle, at de slet ikke modtager nogen sikkerhedsopdatering, der retter sårbarheden.

Det er muligt at søge efter opdateringer i Indstillinger > System > Systemopdatering.

Læs også: Nyheder om it- og cybersikkerhed