Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Via a SECURE, il progetto per supportare conformità delle PMI al Cyber Resilience Act
SentinelOne estende Purple AI alle soluzioni di sicurezza di terze parti
CERT-AGID 11 – 17 gennaio: una campagna di phishing sul Ministero della Salute e di nuovo Lumma Stealer.
Microsoft estende Administrator Protection agli utenti Insider
Una vulnerabilità di UEFI Secure Boot permette l’esecuzione di codice durante il boot di sistema

Qualcomm rilascia aggiornamenti per 17 vulnerabilità, ma soffre di altri bug 0-day

Ott 05, 2023 Marina Londei Attacchi, In evidenza, News, Prodotto, RSS, Vulnerabilità 0

Qualcomm ha rilasciato degli aggiornamenti di sicurezza per 17 vulnerabilità presenti nei propri prodotti, tre delle quali considerate critiche. La compagnia ha inoltre reso nota la presenza di vulnerabilità zero-day sfruttate attivamente dagli attaccanti.

Le tre vulnerabilità critiche sono la CVE-2023-24855, la CVE-2023-28540 e la CVE-2023-33028, rispettivamente con punteggi di 9.8, 9.1 e 9.8 nella scala CVSS. La prima è un bug di Out-of-range Pointer Offset in Modem, un vulnerabilità di Memory Corruption che permette agli attaccanti di eseguire codice arbitrario.

La seconda vulnerabilità colpisce Data Modem ed è causata da un problema crittografico dovuto a un processo errato di autenticazione durante il TLS handshake, mentre l’ultima è un bug di Memory Corruption nel Firmware WLAN che si presenta quando si esegue la memorizzazione della cache pmk.

Al momento non ci sono indizi sullo sfruttamento di queste vulnerabilità da parte degli attaccanti. Qualcomm ha invitato gli utenti ad aggiornare i dispositivi il prima possibile.

Pixabay

La compagnia ha anche avvertito i propri clienti dell’esistenza di tre nuove vulnerabilità 0-day che sembrano essere sfruttate attivamente dagli attaccanti, anche se in modo limitato: Google Threat Analysis Group e Google Project Zero hanno individuato la CVE-2023-33106, la CVE-2023-33107 e la CVE-2023-33063.

I bug colpiscono i driver di Adreno GPU, chip per dispositivi mobili, e di Compute DSP. Al momento non ci sono ulteriori informazioni sulla natura delle vulnerabilità; Qualcomm le renderà pubbliche nel bollettino di sicurezza di dicembre, ma ha già contattato i produttori per condividere con loro i dettagli delle patch.

Secondo i team di Google, gli attaccanti starebbero sfruttando anche una vecchia vulnerabilità, la CVE-2022-22071, presente nel bollettino di sicurezza Qualcomm di maggio 2022. Si tratta di un bug use-after-free presente Snapdragon Auto, Snapdragon Compute, Snapdragon Connectivity, Snapdragon Consumer IOT; Snapdragon Industrial IOT, Snapdragon Mobile e Snapdragon Voice&Music.

La compagnia ha quindi rinnovato l’invito ad applicare le patch di sicurezza anche per questa vulnerabilità, risolta più di un anno fa.

Condividi l'articolo