Qualcomm dicht kwetsbaarheid die afluisteren smartphonemodem mogelijk maakt

Qualcomm heeft vorig jaar december een patch aan smartphonefabrikanten verstrekt voor een kwetsbaarheid die toegang gaf tot zijn modems. De kwetsbaarheid zou dertig procent van alle mobiele telefoons ter wereld treffen, claimt beveiligingsbedrijf Check Point.

In een verklaring aan Amerikaanse media zoals Ars Technica maakt Qualcomm bekend in december 2020 fixes beschikbaar gesteld te hebben. Het bedrijf adviseert gebruikers van Android-smartphones om de laatste updates van de fabrikanten door te voeren.

De kwetsbaarheid zit in het Qualcomm MSM Interface-protocol. Een aanvaller kan een heap overflow uitvoeren in apparaten die een Qualcom Mobile Station Modem gebruiken via de Qualcomm MSM Interface-api. De kwetsbaarheid werd ontdekt door onderzoekers van Check Point Research. Zo'n MSM zit in high-end Android-telefoons van veel fabrikanten. De onderzoekers vonden de kwetsbaarheid vorig jaar in de Snapdragon 855 van een Google Pixel 4. Qualcomm bevestigde Check Point in oktober de kwetsbaarheid te kunnen reproduceren.

Die Interface-api geeft Android de mogelijkheid om met de MSM te communiceren en via die interface kan de MSM met andere onderdelen van een smartphone communiceren, zoals met de camera en vingerafdrukscanner. Maar voor die communicatie zet het logische poorten open richting de cpu van de telefoon. Het verkeer daarop kan onderschept worden als een aanvaller toegang heeft tot de firmware van die MSM.

Check Point heeft de kwetsbaarheid bij Qualcomm op 8 oktober vorig jaar gemeld. In december werd de kwetsbaarheid door Qualcomm gedicht en fabrikanten die de chip gebruiken, zijn ingelicht. Volgens Qualcomm is er nog geen actief misbruik gemaakt van de kwetsbaarheid. Om de kwetsbaarheid te vinden, moest Check Point onder andere Qualcomms realtime OS, of QuRT, reverse engineeren.

Reacties (17)

Ik heb ooit een video gezien waar werd beweerd door experten dat de beveiliging van mobiele gsmmodems erg slecht is en dat een open-source alternatief zeer moeilijk is. Voldoen aan alle standaarden en keuringen zou de grootste horde zijn. Klopt dit?

Misschien dat we op een dag een open source modem kunnen kiezen waardoor we niet afhankelijk zijn aan bv. Qualcomm en beter kunnen testen of een modem wel degelijk veilig is.

Ik heb ooit een video gezien waar werd beweerd door experten dat de beveiliging van mobiele gsmmodems erg slecht is en dat een open-source alternatief zeer moeilijk is. Voldoen aan alle standaarden en keuringen zou de grootste horde zijn. Klopt dit?

Standaarden en keuringen die haaks staan op het idee om broncode van radio's vrij te geven. Verder zijn de betreffende standaarden ook erg complex, en is er natuurlijk ook een stukje marktbescherming.

De beste oplossing is om niet meer afhankelijk te zijn van dit soort ingebouwde modems die direct toegang hebben tot het hoofdgeheugen van het systeem. Dit kan bijvoorbeeld door een apart modem op een USB bus te gebruiken en enkel gebruik te maken van een internetverbinding. Ja, het modem kan de verbinding afluisteren, maar heeft daar niets aan als alles versleuteld is.

[Reactie gewijzigd door The Zep Man op 7 mei 2021 14:45]

Librem-5..., pinephone.hebben die architectuur (niet perongeluk).

Is de Pinephone niet gebasseerd op een open source chipset?

https://wiki.pine64.org/index.php/PinePhone#Firmware_update

Zo te zien is er wat open hardware maar helemaal zeker ben ik er niet van.

[Reactie gewijzigd door Bongoarnhem op 7 mei 2021 14:53]

Nop. Zie Git repo https://github.com/Biktorgj/quectel_eg25_recovery

Het is zeker geen open-source chipset, maar ondertussen is de meeste firmware wel in open-source beschikbaar (reverse engineered). Vanuit de fabrikant hoef je echter geen open-source ondersteuning te verwachten, en dat is tevens de reden dat de gebruikte componenten zo oud zijn.

https://github.com/Biktorgj/pinephone_modem_sdk
https://www.pine64.org/20...pinephone-misconceptions/

De enige open source firmware die ik ken is deze, en die doet alleen nog maar GSM.
Dus ja of het is puur een gebrek aan belangstelling, of het is gewoon erg moeilijk.

Het artikel van ArsTechnica schrijft dat dit 31 procent van alle smartfoons in de wereld raakt. Voornamelijk higher-end devices made by Google, Samsung, LG, Xiaomi, and OnePlus.
Buiten dat de fabrikanten het al enige tijd weten, ben ik nu benieuwd, is er voor alle toestellen een patch uitgekomen die dit repareert, of slechts voor een deel? Volgens mij hebben al deze fabrikanten voor de hogere klasse toestellen een regelmatige release cycle, dus zou voor alle toestellen nu een update uit moeten zijn, maar is dat ook zo?

Deze patch zat voor Samsung in de patch van Januari, maar werd pas genoemd in de update van Mei.

Already included in previous updates
CVE-2020-11242, CVE-2020-11245, CVE-2020-11210, CVE-2020-11252, CVE-2020-11292*

*Select devices have been patched since January of 2021

https://security.samsungmobile.com/securityUpdate.smsb

Voor zover het de Android security updates betreft is dit niet zo. CVE-2020-11292 komt niet voor in de issues die opgelost zijn in 2021 tenzij ik heel slecht gekeken heb (https://source.android.com/security/bulletin). Vermits de verdor-specific patches meestal in het tweede deel (5e dag vd maand) van de monthly's zitten en vermits de meeste fabrikanten een update uitbrengen voor het eerste deel (1e dag vd maand), wil dit zeggen dat deze fix ten vroegste pas in de de monthly's die fabrikanten uitbrengen van 1 juli zal zitten als de fix in de monthly van 5 juni zit. Tegen dat je die dan hebt is het half juli als je geluk hebt, anders is het wachten tot je een update krijgt voor je toestel, tenzij fabrikanten zelf een update ongerelateerd aan de Android monthly's uitbrengen natuurlijk, zoals Samsung blijkbaar reeds gedaan heeft (zie hierboven).

[Reactie gewijzigd door TetsuoShima op 7 mei 2021 15:32]

Drivers worden binnen Android door fabrikanten gepatcht. Dus zoals hierboven beschreven heeft Samsung dat gedaan.
Misschien de andere merken ook wel, maar dat is nog niet bekend hier.

Zo simpel is het niet, elke maand zit de monthly vol met driver updates.

Wat laat hè ? Nu alles binnen is gehengeld mag het lek dicht.

No worries nog genoeg exploitable over.

Waarschijnlijk heeft een concurrerend inlichtingendienst dit achterdeurtje ontdekt en gebruikt en wordt daarom nu de deur dichtgedaan.

Jammer, die reactie. Als personen waarschuwen over een mogelijke kwetsbaarheid zijn ze wappies of aluhoedjes. Met zo'n attitude is het niet gek dat we consequent te maken hebben met vulnerabilities en datalekken.

En nu terug naar de steen waar je onder vandaan gekropen bent.