苹果开源技术让数亿 Android 设备面临 RCE 风险-低调大师

苹果开源技术让数亿 Android 设备面临 RCE 风险

2022-04-25 616

Apple Lossless Audio Codec（简称 ALAC）是苹果公司于 2004 年推出的无损音频编解码技术，苹果于 2011 年在 Apache-2.0 协议下开源了该技术。在尚未开源的时候，ALAC 主要用于苹果自己的 iPod、iPhone、Mac 等设备，如今开源后的 ALAC 已被许多厂商用于非苹果设备上。

虽说苹果开源了 ALAC，但在过去这么多年的时间里，苹果只改进了该编解码器的专有版本，而开源版本在过去 11 年中并未更新过。众所周知，一个项目长期不维护也就伴随着风险。

网络安全公司 Check Point 的研究人员近日发现，开源的 ALAC 存在严重的漏洞，该漏洞允许攻击者在受影响的设备上进行远程代码执行（RCE）攻击。而联发科和高通这两大移动芯片制造商都在旗下的音频解码器中使用了相关代码。

根据市场研究机构在 2021 年 Q4 的调查，联发科和高通是目前市场占有率排名第一和第二的两家移动芯片制造商，两者的市场份额相加已超过 60%。正因如此，Check Point 预计 2021 销售的 Android 手机中，三分之二都受到该漏洞的影响（还不包括更老旧的 Android 型号）。

而 IDC 在 2021 年统计的手机出货量数据显示，2021 年全球手机出货量为 13.5 亿部，排除掉苹果后仍有 11 亿部，粗略计算一下受影响的 Android 手机也超过 7 亿部（下图中的数量单位为 “百万”）。

Check Point 表示，这个名为 ALHACK 的漏洞会使 Android 用户的隐私面临风险。这些漏洞可以通过专门制作的音频文件来触发，可以引发远程代码执行。

Check Point 在博文中解释道：

RCE 漏洞的影响范围从恶意软件执行到攻击者获得对用户多媒体数据的控制。此外，没有特权的 Android 应用可以利用这些漏洞提升其权限，获得对媒体数据和用户会话的访问权。

联发科与高通已于 2021 年 12 月发布补丁，修复了该漏洞（高通将该漏洞的严重性评为 9.8 分，满分 10 分）。据联发科称，漏洞影响了运行 Android 8.1、9.0、10.0 和 11.0 版本的设备中使用的数十款联发科芯片。

熟悉 Android 的用户都知道，Android 的版本更新和安全修复存在严重的碎片化现象，Google 和芯片厂商无法直接推送这些更新内容，Android 手机的更新通常是交由各个厂商自己负责，一般情况下也只有 Google 自己的 Pixel 和三星等大厂近几年的产品才能获得更新。

不过话又说回来，高通和联发科作为目前市场上的两大移动芯片厂商，可以说是人才济济，财力雄厚，但他们并未向所依赖的代码提供贡献，看起来似乎也没严格审查相关代码的安全性。

微信关注我们

原文链接：https://www.oschina.net/news/192846/apple-alac-vulnerability

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

老牌格斗游戏 Overgrowth（复仇格斗兔 2）宣布开源

4 月 21 日，发行十余年的格斗游戏 Overgrowth（中文名：复仇格斗兔2）正式宣布开源。 Overgrowth（中文名：复仇格斗兔2）是游戏公司 Wolfire 制作的一款动作冒险游戏，玩法有点类似于《刺客信条》，不过玩家控制的是一只肌肉壮硕的兔子与其他动物进行格斗，每种动物各有特点，比如猫（移速高）、狗（血厚，不能被暗杀）、鼠（攻速快但脆弱）、狼(血厚、不能被暗杀、攻击不可防御、伤害极高)。游戏的一大亮点是它有一个非常真实的物理引擎，格斗的效果都使用该物理引擎实时渲染，因此打击感极为真实。 Overgrowth 于 2011 年首次发行，但实际开发的时间已有 14 年。此次开源的是游戏整体框架代码，但并不包括艺术资产和关卡内容。据 Wolfire 的说法，此举是避免黑心商家将 Overgrowth 作为自家产品重构和销售。事实上，该游戏开源主要是为了以下用户：想了解一个发行游戏的完整框架，到底由哪些内容构成希望了解一个游戏具体功能的代码，比如动画系统想为 Overgrowth 制作更多 Mod 的玩家游戏已基于 Apache 2.0 许可证开源，代码存储在 GitH...

2022-04-25

649

被广泛使用的多媒体开源库 FFmpeg 合并了对 JPEG-XL 图像格式的支持。从 commit 记录可以看到，上周六合并的 PR 是对 JPEG-XL 图像编解码器的支持。FFmpeg 正在使用事实上的 libjxl 库来处理 JPEG-XL 内容，并支持图像编码和解码。这项工作包括将 JPEG-XL 图像作为流进行多路复用/解复用，以及围绕此编解码器的其他 FFmpeg 支持工作。 JPEG XL 基于 Google 的 PIK 格式和 Cloudinary的 FUIF 格式（该格式基于 FLIF），它的默认设置能在实现接近无损的视觉效果的同时，提供良好的压缩效果，这一项目希望成为其他光栅有损和无损图像格式的通用替代品。 JPEG 是指联合影像专家小组，它是设计该格式的委员会。 X 是指自 2000 年以来的几个 JPEG 标准的名称的一部分： JPEG XT 、 JPEG XR 、JPEG XS 。 L 代表长期，因为创建这种格式的意图是替换旧的 JPEG 文件格式并能被使用同样长的时间。 JPEG-XL 比特流格式于 2021 年底完成，并开始被各种开源和闭源应用程序采用。...

2022-04-25

738

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。