Mobile-Menu

64 betroffene Chipsätze in Millionen von Geräte Zero-Day-Schwachstelle in Qualcomm-Prozessoren

Von Melanie Staudacher 2 min Lesedauer

Qualcomm hat eine Zero-Day-Schwachstelle in einer Reihe von mobilen Prozessoren und Chips bestätigt und einen Patch bereitgestellt. Auch eine bereits ein Jahr alte kritische Sicherheitslücke wurde endlich geschlossen.

In weit verbreiteten Snapdragon-Prozessoren von Qualcomm fanden Analysten eine Zero-Day-Schwachstelle, die schon ausgenutzt wurde.(Bild: Dall-E / KI-generiert)
In weit verbreiteten Snapdragon-Prozessoren von Qualcomm fanden Analysten eine Zero-Day-Schwachstelle, die schon ausgenutzt wurde.
(Bild: Dall-E / KI-generiert)

Sicherheitsforscher von der Google Threat Analysis Group und dem Security Lab von Amnestiy International haben eine Zero-Day-Schwachstelle in mobilen Qualcomm-Prozessoren entdeckt. Die Organisationen haben bestätigt, dass die Sicherheitslücke CVE-2024-43047 (CVSS 7.8) bereits ausgenutzt wurde.

Die Schwachstelle ermöglicht Cyberangreifern Zugriff auf den Speicher betroffener Geräte.

Die Sicherheitsanfälligkeit wird durch eine Use-after-free-Schwachstelle verursacht. Diese Art von Schwachstelle tritt auf, wenn ein Programm Speicher verwendet, die bereits freigegeben wurden. Löscht ein Programm nach der Freigabe eines Speicherplatzes den Pointer auf diesen Speicher nicht, kann ein Angreifer diesen Fehler ausnutzen, um das Programm zu hacken. Für einen solchen Angriff genügen bereits geringe Berechtigungen von lokalen Angreifern.

Beliebte Snapdragon-Prozessoren betroffen

Mittlerweile hat Qualcomm einen Patch für die Sicherheitslücke bereitgestellt. Betroffen sind neben WLAN- und Bluetooth-Chips auch die in Android-Smartphones weit verbreiteten Prozessoren

Snapdragon 660, 680, 685, 865, 870, 888, 888+ sowie die Mobilplattform Snapdragon 8 Gen 1. Insgesamt nennt der Hersteller 64 betroffene Produkte. Zwar sind einige davon schon seit vielen Jahren auf dem Markt, die Analysten halten großflächige Angriffe jedoch für unwahrscheinlich. Die Zero-Day-Schwachstelle ist den Analysten von Google und Amnesty International eher für begrenzte und gezielte Angriffe geeignet.

Qualcomm zufolge wurde CVE-2024-43047 am 29. Juli 2024 entdeckt. Anfang September informierte der Qualcomm seine Kunden und stellte einen Patch bereit. Diese wiederum müssen den Patch für die Geräte freigeben, die anfällige Chipsätze verwenden.

Kritische Sicherheitslücke in WLAN Resource Manager

Im Security Bulletin von Oktober 2024 hat Qualcomm eine weitere Sicherheitslücke geschlossen. Diese ist sogar noch gefährlicher als CVE-2024-43047. Denn die Sicherheitslücke CVE-2024-33066 hat einen CVSS von 9.8. Obwohl sie bereits am 6. September 2023 entdeckt wurde, informierte Qualcomm seine Kunden erst am 1. Juli 2024.

Diese Schwachstelle kann von Cyberkriminellen leicht über das Netzwerk ausgenutzt werden. Eine besondere Authentifizierung ist dafür nicht notwendig. Sie betrifft den WLAN Resource Manager und führt zu einer „Speicherbeschädigung beim Umleiten der Protokolldatei an einen beliebigen Dateispeicherort mit einem beliebigen Dateinamen“. 71 Chipsätze sind von dieser Sicherheitslücke betroffen.

(ID:50203120)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte