Миллионы устройств Android были уязвимы для атаки с удалённым выполнением кода из-за недостатков в аудиокодеке.
Исследователи Check Point обнаружили ошибку в Apple Lossless Audio Codec (ALAC) — технологии сжатия аудио, которую Apple сделала общедоступной в 2011 году. После этого ALAC был встроен в устройства Android и программы для воспроизведения звука.
Проблема заключалась в том, что хотя Apple обновляла и исправляла свою проприетарную версию ALAC, открытый исходный код кодека не обновлялся с 2011 года и содержал критический недостаток, позволяющий выполнять удалённое выполнение кода. Злоумышленник мог использовать уязвимость, отправив жертве искажённый аудиофайл. Так он мог получить удалённый доступ к медиафайлам и аудиоразговорам.
Уязвимость затрагивает устройства Android с чипами от MediaTek и Qualcomm. По оценкам Check Point, две трети смартфонов, проданных в 2021 году, уязвимы.
