BDU:2022-06016 (CVE-2022-25653) — уязвимость компонента Video микропрограммного обеспечения встраиваемых плат Qualcomm

По данным БДУ ФСТЭК России, по состоянию на 30.09.2022.

Средний — 6.8/10 Устранена

Уязвимость компонента Video микропрограммного обеспечения встраиваемых плат Qualcomm связана с отсутствием проверки длины буфера и чтением за границами памяти при обработке фалов формата avi. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации

Кого касается и что делать

Уязвимое ПО: Android (Google); QCA6390 (Qualcomm Technologies); MSM8953 (Qualcomm Technologies); и ещё 87 позиций
Что делать: уязвимость устранена производителем — применить исправления: source.android.com, docs.qualcomm.com

Сведения об уязвимости

Идентификаторы	BDU:2022-06016 · CVE-2022-25653
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 6.8; CVSS 2.0 — 5.6)
Вектор CVSS 3.1	AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L нужен локальный доступ, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, ограниченное влияние на доступность
Наименование ФСТЭК	Уязвимость компонента компонента Video микропрограммного обеспечения встраиваемых плат Qualcomm, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Даты	Опубликована: 30.09.2022 · Обновлена ФСТЭК: 30.09.2022 · Выявлена: 14.07.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-125 — чтение за границами буфера; CWE-126 — чтение из памяти, следующей за границей окончания буфера
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

Android (Google) — операционная система
QCA6390 (Qualcomm Technologies) — микропрограммный код
MSM8953 (Qualcomm Technologies) — микропрограммный код
QCS605 (Qualcomm Technologies) — микропрограммный код
SD 8 Gen1 5G (Qualcomm Technologies) — микропрограммный код
WCD9380 (Qualcomm Technologies) — микропрограммный код
WCN6855 (Qualcomm Technologies) — микропрограммный код
WCN6856 (Qualcomm Technologies) — микропрограммный код
WSA8830 (Qualcomm Technologies) — микропрограммный код
WSA8835 (Qualcomm Technologies) — микропрограммный код
AQT1000 (Qualcomm Technologies) — микропрограммный код
SD690 5G (Qualcomm Technologies) — микропрограммный код
SD750G (Qualcomm Technologies) — микропрограммный код
SD765 (Qualcomm Technologies) — микропрограммный код
SD765G (Qualcomm Technologies) — микропрограммный код
SD768G (Qualcomm Technologies) — микропрограммный код
SD778G (Qualcomm Technologies) — микропрограммный код
SD780G (Qualcomm Technologies) — микропрограммный код
SD870 (Qualcomm Technologies) — микропрограммный код
SD888 5G (Qualcomm Technologies) — микропрограммный код
SDX55M (Qualcomm Technologies) — микропрограммный код
SDXR2 5G (Qualcomm Technologies) — микропрограммный код
WCN3991 (Qualcomm Technologies) — микропрограммный код
WCN3998 (Qualcomm Technologies) — микропрограммный код
WCN6750 (Qualcomm Technologies) — микропрограммный код
WCN6850 (Qualcomm Technologies) — микропрограммный код
WCN6851 (Qualcomm Technologies) — микропрограммный код
WCN7850 (Qualcomm Technologies) — микропрограммный код
WCN7851 (Qualcomm Technologies) — микропрограммный код
APQ8053 (Qualcomm Technologies) — микропрограммный код
215 (Qualcomm Technologies) — микропрограммный код
SD439 (Qualcomm Technologies) — микропрограммный код
SD460 (Qualcomm Technologies) — микропрограммный код
SD480 (Qualcomm Technologies) — микропрограммный код
SD662 (Qualcomm Technologies) — микропрограммный код
SD680 (Qualcomm Technologies) — микропрограммный код
SD695 (Qualcomm Technologies) — микропрограммный код
SM7450 (Qualcomm Technologies) — микропрограммный код
SM8475 (Qualcomm Technologies) — микропрограммный код
SM8475P (Qualcomm Technologies) — микропрограммный код
SD665 (Qualcomm Technologies) — микропрограммный код
SD 675 (Qualcomm Technologies) — микропрограммный код
SD 678 (Qualcomm Technologies) — микропрограммный код
SD720G (Qualcomm Technologies) — микропрограммный код
SD730 (Qualcomm Technologies) — микропрограммный код
SDX50M (Qualcomm Technologies) — микропрограммный код
QCS603 (Qualcomm Technologies) — микропрограммный код
SD855 (Qualcomm Technologies) — микропрограммный код
WCD9370 (Qualcomm Technologies) — микропрограммный код
WCN3950 (Qualcomm Technologies) — микропрограммный код
… и ещё 40 позиций

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для Android: source.android.com/docs/security/bulletin/pixel/2022-09-01
Для Qualcomm: docs.qualcomm.com/product/publicresources/securitybulleti…

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: