Qualcomm patcht actief misbruikte kwetsbaarheid in diverse Snapdragon-chipsets

Qualcomm brengt een beveiligingspatch uit voor een kritieke kwetsbaarheid met risico voor uiteenlopende chipsets van het bedrijf, waaronder Snapdragon-socs. Het bedrijf vraagt fabrikanten die Qualcomm-chips gebruiken om de beveiligingspatch uit te rollen.

snapdragon 8 gen 3

Het gaat om de geheugencorruptiebug CVE-2024-43047, die in samenwerking met Google Project Zero en het Amnesty International Security Lab ontdekt werd. Volgens die instanties wordt deze kwetsbaarheid in beperkte mate actief misbruikt. Door een firmware-update uit te brengen, kunnen oem's voorkomen dat de kwetsbaarheid verder misbruikt wordt. De bug krijgt een CVSS-score van 7.8.

Qualcomm patcht tevens een zeer kritieke kwetsbaarheid CVE-2024-33066 met de CVSS-score 9.8. Voor zover bekend is deze kwetsbaarheid, wederom een geheugencorruptiebug waarbij aanvallers ook bestanden in het geheugen kunnen bewerken, niet actief misbruikt.

Reacties (14)

[Olaf van der Spek]

Voor zover bekend is deze kwetsbaarheid, wederom een geheugencorruptiebug waarbij aanvallers ook bestanden in het geheugen kunnen bewerken, niet actief misbruikt.

"Absence of Evidence is not evidence of absence"

met risico voor uiteenlopende chipsets van het bedrijf,

Welke chipsets?

[wildhagen]

[...]

Welke chipsets?

Which Chipsets Are Affected by CVE-2024-43047?
The CVE-2024-43047 vulnerability impacts a broad range of Qualcomm chipsets, spanning across mobile platforms, video collaboration platforms, modem systems, and audio components. Some of the affected products include:

- FastConnect Series: 6700, 6800, 6900, 7800
- QCA Series: QCA6174A, QCA6391, QCA6426, QCA6436, QCA6574AU, QCA6595, QCA6688AQ, QCA6696
- QCS Series: QCS410, QCS610, QCS6490
- Snapdragon Mobile Platforms: Snapdragon 660, 680 4G, 685 4G (SM6225-AD), 8 Gen 1, 865 5G, 870 5G, 888 5G
- Snapdragon Auto: Auto 5G Modem-RF, Auto 5G Modem-RF Gen 2
- Video Collaboration Platforms: Qualcomm® VC1 and VC3
- Audio and Wireless: WCD9335, WCN3980, WSA8810

The list here is not exhaustive; many other chipsets from Qualcomm are also impacted. Users with affected devices should update their Snapdragon components to the latest firmware version as soon as possible to protect against potential exploitation.

Zie https://socradar.io/qualc...r-2024-security-bulletin/

[Reactie gewijzigd door wildhagen op 9 oktober 2024 15:59]

[HakanX]

Users with affected devices should update their Snapdragon components to the latest firmware version as soon as possible to protect against potential exploitation.

Veel succes 90% zal niet geüpdatet kunnen worden omdat je afhankelijk bent van honderden verschillende fabrikanten.
Wordt weer pijnlijk duidelijk hoe groot het probleem is met apparaten waarvan je niet zelf drivers kan installeren, maar je een compleet nieuw firmware nodig hebt. Zo'n gevaarlijke lek gaat dus gewoon open blijven. Alles om de wegwerp economie intact te kunnen houden. EU moet hier toch echt werk van maken.

[Tozz]

vziw is dit steeds minder het geval. Google is al een tijdje bezig om meer systeemonderdelen te verpakken in 'apps' die via de Store worden geupdate. Je hebt dan geen nieuwe firmware nodig om security updates te krijgen.

[watercoolertje]

[...]
"Absence of Evidence is not evidence of absence"

Dat dekt die zin zelf al prima af:

Voor zover bekend is deze kwetsbaarheid ... niet actief misbruikt.

[Van der Berg]

Goed dat er actie wordt ondernomen en ik wacht dan op de uitrol van de patch voor op mijn S24 Ultra. Krijgen de oudere SoC met Snapdragon deze update alsnog, als de updatebeleid teneinde is?

[OruBLMsFrl]

Het is zeer onwaarschijnlijk dat er nog veel smartphone fabrikanten voor end of life phones zo een firmware update uitbrengen wijst de geschiedenis uit. Een paar positieve uitzonderingen daargelaten is het probleem vaak de smartphone fabrikant. En aan de andere kant is het een enkele negatieve uitzondering waar de soc support te vroeg stopt terwijl smartphone makers oprecht nog lekker door blijven patchen.
Wie weet verandert dat laatste nu smartphone fabrikanten soms wel 8 jaar update garantie geven, dat dan soc support eerder beperkend wordt.

[merethan]

En aan de andere kant is het een enkele negatieve uitzondering waar de SoC support te vroeg stopt terwijl smartphone makers oprecht nog lekker door blijven patchen.

Om precies die reden heeft Fairphone een industriële SoC gebruikt in hun meest recente model; support van de fabrikant is langer dan bij consumentenchips.

[RedBull]

Dus mijn S23 met Snapdragon 8 Gen 2 valt er net niet onder.

[McBacon]

Nouja, misschien ook wel. Zie de link van wildhagen en dan het stukje met "the list here is not exhaustive". Ik vind het vrij aannemelijk dat de Gen 2 er net zo goed last van heeft, want de Gen 1 is al wel bevestigd.

[Probook8979]

Hoe kan ik deze patch doorvoeren?

[Splorky]

de fabrikant lief aankijken, en waarschijnlijk de oplossing krijgen in de vorm van het advies een nieuw toestel te kopen.

[sdziscool]

Ik zie mijn CPU ertussen staan, en natuurlijk de laatste update van mijn telefoon was 2 jaar geleden. Hopelijk dat hij misschien met de google play update meekomt maar ik verwacht van niet aangezien dit hardware betreft :c

[wooha]

Voorzover ik zie zijn het geen bugs of vulnerabilities in de hardware/chipsets zelf, maar gaat het om drivers die gebruikmaken van de genoemde chipsets.

De titel gaf me het idee van een side-channel attack of erger tegen de hardware/chipset zelf, zoals Meltdown en Spectre. Waarbij de term "patcht" dan suggereert dat er een firmware/microcode work-around of fix bestaat.