QualcommのSnapdragonに400個超の脆弱性

https://pc.watch.impress.co.jp/docs/news/1270447.html 

※ こういう風に、「ハード」「SoC」「チップ」にも、「脆弱性」がある…。インテルのCPUに、「Spectre(スペクター)」と「Meltdown(メルトダウン)」が発見された話題は、記憶に新しい…。

 なにしろ、今ほど「爆発的に」ネットなんかが発展していなかった時代、「爆発的に」「ハッカー」「クラッカー」がいなかった時代における「脆弱性対策」が前提なんで、追いついていない状況なんだろう…。

『セキュリティ企業CheckPointによると、同社の調査でQualcommのモバイル向けSoCプラットフォームSnapdragonに、400を超える脆弱性が見つかったとし、注意喚起を促した。同社はこれらの脆弱性をまとめて「Achilles(アキレス)」と呼んでいる。

 同社はこれらの脆弱性が悪用されることを防ぐために、各モバイルベンダーが対応するまで技術の完全の詳細について控えるとしているが、問題に対する認識を高めるためにブログを公開することにした。これらの脆弱性に対する共通脆弱性識別子(CVE)はCVE-2020-11201、CVE-2020-11202、CVE-2020-11206、CVE-2020-11207、CVE-2020-11208、CVE-2020-11209の6つ。

 これらの脆弱性は、Snapdragonに内包されるQuick Chargeやビデオ/キャプチャ/AR、オーディオなどを担当するDSPに起因する。DSPは設計や機能、コードなどが公開されていないためブラックボックスと化しており、ほかの部分と比較してセキュリティリスクに対してはるかに脆弱であるという。

 脆弱性が突かれた場合、ユーザーが操作を加えることなくとも、攻撃者は写真、ビデオ、通話記録、リアルタイムのマイクデータ、GPSや位置データを取得可能。また、保存されているデータすべてを永久的に利用不可能にしたり、マルウェアや悪意のあるコードを完全に隠して削除できないようにすることも可能。

 市場にある約40%の携帯電話がQualcommのチップを使っているため、この脆弱性の影響は甚大だ。脆弱性の防御方法などについては、8月13日(米国時間)に開かれるウェビナーで明らかにされる。』

「(グーグル翻訳文)アキレス:小さなチップ、大きな危険。
https://blog.checkpoint.com/2020/08/06/achilles-small-chip-big-peril/

『QualcommのSnapdragonチップに400を超える脆弱性があり、世界中の携帯電話のユーザビリティを脅かしています
全世界で30億人を超えるユーザーがいるスマートフォンは、日常生活に欠かせない不可欠な要素です。

モバイル市場が成長を続けるにつれ、ベンダーは最新のデバイスで新機能、新機能、より優れた技術革新を提供しようと競争しています。イノベーションへのこの絶え間ない推進力をサポートするために、ベンダーは多くの場合、必要なハードウェアとソフトウェアを電話に提供するためにサードパーティに依存しています。最も一般的なサードパーティソリューションの1つは、DSPチップとして一般に知られているデジタルシグナルプロセッサユニットです。

この調査では、「Achilles」と呼ばれ、大手メーカーの1つであるQualcomm Technologiesの DSPチップに対して広範なセキュリティレビューを実施しました。クアルコムは、Google、Samsung、LG、Xiaomi、OnePlusなどのハイエンド携帯電話など、携帯電話市場の40%以上を占めるデバイスに組み込まれているさまざまなチップを提供しています。

その他のコードのより400の脆弱部分が発見された私たちがテストしたDSPチップ内に、およびこれらの脆弱性は、影響を受けたチップを搭載した携帯電話のユーザーに以下の影響を与える可能性があります:

攻撃者は、ユーザーの操作を必要とせずに、電話を完璧なスパイツールに変えることができます。電話から流出できる情報には、写真、ビデオ、通話録音、リアルタイムのマイクデータ、GPSおよび位置データなどがあります。
攻撃者は携帯電話を常に無反応にする可能性があります–この電話に保存されているすべての情報(写真、ビデオ、連絡先の詳細など)を永久に利用不可能にします–つまり、標的型サービス拒否攻撃。
マルウェアやその他の悪意のあるコードは、活動を完全に隠し、削除できなくなる可能性があります。
これらの調査結果をクアルコムに開示し、Qualcommはそれを認め、関連するデバイスベンダーに通知し、次のCVEを割り当てました:CVE-2020-11201、CVE-2020-11202、CVE-2020-11206、CVE-2020-11207、CVE- 2020-11208およびCVE-2020-11209。

アキレスの脆弱性、組織への影響、およびそれに対する防御方法の詳細については、8月13日のウェビナー(AMERICAセッションまたはEMEAセッション)にご参加ください。

重要な注意点
チェック・ポイント・リサーチは、モバイルベンダーが説明されている可能性のあるリスクを軽減する包括的なソリューションを手に入れるまで、これらの脆弱性の完全な技術詳細を公開しないことを決定しました。

ただし、これらの問題に対する認識を高めるために、このブログを公開することにしました。また、関連する政府関係者、およびこの調査で協力して関連するモバイルベンダーを更新し、携帯電話の安全性を高めています。研究の詳細はすべてこれらの利害関係者に明らかにされました。

チェック・ポイント・リサーチは、世界中のテクノロジーと製品をより安全にすることに尽力しており、コラボレーションを要求するすべてのセキュリティベンダーと協力します。予防的な動きとして、これらのリスクの影響を受ける可能性のある組織に対して、この調査の公開から今後6か月の潜在的な損害を保護および防止するために、管理モバイルデバイス用の20の無料SandBlast Mobileライセンスを提供しました。

とにかくDSPとは何ですか?
DSP(デジタルシグナルプロセッサ)は、デバイス自体の使用の各領域を最適化および有効化するように設計されたハードウェアとソフトウェアを備えたチップ上のシステムです。

充電機能(「クイックチャージ」機能など)
ビデオ、HDキャプチャ、高度なAR機能などのマルチメディアエクスペリエンス
さまざまなオーディオ機能
簡単に言えば、DSPはシングルチップ上の完全なコンピューターであり、ほとんどすべての最近の電話にはこれらのチップの少なくとも1つが含まれています。

単一のSoC(ソフトウェアオンチップ)には、画像処理、コンピュータービジョン、ニューラルネットワーク関連の計算、カメラストリーミング、オーディオおよび音声データなど、毎日のモバイル使用を可能にする機能が含まれる場合があります。さらに、ベンダーはオプションでこれらの「ミニコンピューター」を使用して、既存のフレームワークの上に専用アプリケーションとして実行される独自の機能を挿入できます。

新しい攻撃ベクトル
DSPチップは比較的経済的なソリューションを提供しますが、携帯電話はエンドユーザーにより多くの機能を提供し、革新的な機能を可能にしますが、コストがかかります。これらのチップは、これらのモバイルデバイスに新しい攻撃面と弱点をもたらします。DSPチップは、「ブラックボックス」として管理されているため、設計、機能、またはコードを確認するのが製造元以外の誰かにとって非常に複雑になる可能性があるため、リスクに対してはるかに脆弱です。

何をしたの?
チェック・ポイント・リサーチは、そのようなエコシステムは世界中の何百万人もの人々に深刻な影響を与える可能性のある重大な脆弱性の肥沃な場であり、それらを修正するには多くのベンダー、メーカー、リセラー間で長いコミュニケーションの連鎖が必要であると信じています。このため、現在利用可能な最も一般的なチップの1つであるクアルコムのSnapdragonのセキュリティポスチャを確認し、詳細に調査することにしました。

DSPチップは「ブラックボックス」の性質を持っているため、モバイルメーカーがこれらの問題を解決するには、チップメーカーが最初に対処する必要があるため、非常に困難です。調査方法と最先端のファズテストテクノロジを使用して、これらの問題を克服し、テスト済みのDSPチップの内部について珍しい洞察を得ました。これにより、チップのセキュリティ管理を効果的に確認し、その弱点を特定することができました。

この調査が、DSPチップエコシステムのためのより良い、より安全な環境を構築するのに役立ち、セキュリティコミュニティがモバイルデバイスのセキュリティを強化するためにこれらのチップの定期的なセキュリティレビューを実施するために必要な知識とツールを提供することを願っています。

この研究の詳細については、DEFCONバーチャル会議でのプレゼンテーションをご覧ください。

モバイルセキュリティソリューションを使用して、モバイルデバイス上の企業データを保護することを強くお勧めします。SandBlast Mobileは、リアルタイムの脅威インテリジェンスと、ビジネスに影響を与える可能性のあるモバイル脅威の可視性を提供し、このブログで詳述されているクアルコムの脆弱性に関連するリスクに対する完全な保護を提供します。

アキレスの脆弱性、組織への影響、およびそれに対する防御方法の詳細については、8月13日のウェビナー(AMERICAセッションまたはEMEAセッション)にご参加ください。』