Qualcomm-Sicherheitsbulletin 10/24: RCE Schwachstelle in Snapdragon Smartphones behoben

Der Qualcomm-Sicherheitsbulletin für Oktober 2024 hebt mehrere kritische Schwachstellen in verschiedenen Qualcomm-Komponenten hervor, darunter die weit verbreiteten Snapdragon-Chipsätze und FastConnect-Lösungen. Besonders hervorzuheben sind folgende Sicherheitslücken:

  1. CVE-2024-43047: Eine Schwachstelle im FASTRPC-Treiber, die von Google’s Threat Analysis Group als potenziell aktiv ausgenutzt identifiziert wurde. Diese Schwachstelle könnte Angreifern die Eskalation von Rechten auf betroffenen Geräten ermöglichen. Qualcomm hat bereits Patches an die OEMs verteilt und empfiehlt dringend, die Updates so schnell wie möglich zu implementieren.
  2. CVE-2024-33066: Diese kritische Schwachstelle im WLAN-Resource-Manager erlaubt die Ausführung von Remote Code und könnte zu einer vollständigen Übernahme des Geräts führen. Die Schwachstelle resultiert aus einer unzureichenden Eingabevalidierung und betrifft mehrere Qualcomm-Plattformen wie die IPQ-Serie und Snapdragon X65 5G Modem-RF-Systeme.
  3. CVE-2024-23369: Diese Schwachstelle im HLOS-Subsystem (Hardware Abstraction Layer) ermöglicht es lokalen Angreifern, Speicherfehler zu provozieren, was zu Systeminstabilität führen kann.

Qualcomm fordert alle Gerätehersteller auf, die bereitgestellten Patches umgehend anzuwenden, um die Sicherheit der Nutzer zu gewährleisten. Benutzer sollten sicherstellen, dass ihre Geräte auf dem neuesten Stand sind, indem sie die neuesten Firmware-Updates installieren.

Für detaillierte Informationen und technische Details finden Sie den vollständigen Bulletin hier: Qualcomm-Sicherheitsbulletin Oktober 2024.

Tags :

Related Posts

SEIKO EPSON Drucker: Unsichere Passwortkonfiguration in Web Config erlaubt RCE

In mehreren Produkten von SEIKO EPSON besteht eine Sicherheitslücke in der Web Config-Software, die es Angreifern ermöglicht, ein beliebiges Administrationspasswort zu setzen, wenn das Gerät ohne vorherige Konfiguration mit dem Netzwerk verbunden wird. Dies kann dazu führen, dass ein Angreifer das Gerät mit Administratorrechten fernsteuert. Die Web Config-Software erlaubt es Nutzern, den Status von SEIKO EPSON-Geräten zu überprüfen und deren Einstellungen über einen Webbrowser zu ändern. Wenn das Gerät erstmalig mit dem Netzwerk verbunden wird, wird kein Administrationspasswort festgelegt. Dadurch können Angreifer ein beliebiges Passwort setzen und die Kontrolle über das Gerät erlangen. Ein Angreifer kann die Geräte mit administrativen Rechten steuern, indem er ein eigenes Passwort setzt. Betroffen sind:

Read More

Datenschutz-Problem: Smart-TVs tracken Userverhalten mit ACR im Opt-Out Verfahren

Im Oktober 2024 veröffentlichten Forscher der CalTec die Studie „Watching TV with the Second-Party“, die Automatic Content Recognition (ACR) in Smart-TVs untersucht. ACR ist eine Technologie, die automatisch Inhalte erkennt, die auf dem Fernseher abgespielt werden, und diese Informationen an Server übermittelt. Dabei werden regelmäßig Bild- oder Audioschnipsel erfasst, die dann mit einer zentralen Datenbank abgeglichen werden, um das genaue Programm oder den Film zu identifizieren, das/die ein Nutzer sieht.

Read More

PoC: Linux Container Escape durch CVE-2023-52447 möglich

Der CVE-2023-52447 ist eine Sicherheitslücke im Linux-Kernel, die eine Use-After-Free-Schwachstelle im BPF (Berkeley Packet Filter)-Subsystem betrifft. Genauer gesagt handelt es sich um eine fehlerhafte Verwaltung von Arraymap-Zeigern in bestimmten BPF-Programmen. Diese Schwachstelle betrifft Kernel-Versionen von 5.8 bis 6.6 und hat eine CVSS-Bewertung von 7.8, was sie als hochriskant einstuft.

Read More