Check Point Software Technologiesは、Appleの開発したロスレス音声フォーマット「Apple Lossless Audio Codec(ALAC)」の古いバージョンに脆弱(ぜいじゃく)性「ALHACK」があり、関連するスマートフォン用チップセットにセキュリティ上の問題が存在すると発表した。対象となるチップセットはMediaTekおよびQualcommが供給しており、2021年に世界各地で販売されたAndroidスマートフォンの3分の2が影響されるという。
ALACは「Apple Lossless」とも呼ばれ、音質を損なうことなくオーディオデータを圧縮して伝送するための音声フォーマット。Appleが開発して2004年より提供し、2011年にオープンソースとして公開した。Appleの各種製品だけでなく、Androidスマートフォン、WindowsやLinux用のメディアプレーヤーなど、多くのデバイスやソフトウェアで利用されている。
AppleはALACのメンテナンスを継続し、脆弱性などに対処してきた。一方、Apple以外は、オープンソースで公開された古いバージョンのALACを採用し、脆弱性の残ったものを使い続けている例が少なくないそうだ。
ALHACKの影響を受けるチップセットがスマートフォンに搭載されていると、細工の施されたサイバー攻撃用のオーディオファイルやAndroidアプリによって、任意のコード実行が可能になる。その結果、スマートフォンのユーザー権限が奪われ、オーディオファイルの不正取得や通話の盗聴といった被害を受けかねないとした。
Check Pointの調査したところ、MediaTekとQualcommが問題のALACを一部チップセットで採用していた。
なお、MediaTekとQualcommはいずれもALHACKに対処しており、修正用パッチを提供済み。
CNET Japanの記事を毎朝メールでまとめ読み(無料)
ZDNET×マイクロソフトが贈る特別企画
今、必要な戦略的セキュリティとガバナンス
ものづくりの革新と社会課題の解決
ニコンが描く「人と機械が共創する社会」