Zeker dertien kwetsbaarheden zijn blootgelegd door MediaTek in de eigen componenten. Eén ervan wordt omschreven als kritiek en wordt gebruikt in 51 chipsets.
De meest opvallende kwetsbaarheid staat bekend als CVE-2024-20154 en heeft een CVSS 3.0-score van 8.1. Dat is officieel “High”, maar zoals we eerder hebben aangegeven zijn dergelijke naamgevingen en scores niet allesbepalend. Zelf omschrijft MediaTek CVE-2024-20154 als kritiek. Door een ontbrekende bounds check kan een kwaadwillende binnen verschillende MediaTek-modems een out-of-bounds write uitvoeren. Er is geen gebruikersinteractie nodig om de kwetsbaarheid te exploiteren.
Brede impact
MediaTek’s modems worden in talloze producten gebruikt. Binnen de mobiele SoC’s van het bedrijf verbinden ze smartphones van onder meer Samsung, Xiaomi, Motorola en Oppo met het internet. Daarnaast treffen de kwetsbaarheden chipsets die te vinden zijn in auto’s, Chromebooks en IoT-devices. Het onderhuidse OS is doorgaans Android.
Onder de andere twaalf kwetsbaarheden zijn veel out-of-bounds write-exploitaties te vinden. Andere fouten hebben mogelijk een crash van het systeem tot gevolg of een Denial-of-Service. Hoe exploiteerbaar de cybergevaren werkelijk zijn, hangt af van meerdere factoren. Zo kan een kwetsbaarheid van het MediaTek-modem wellicht leiden tot een compromis via een malafide zendmast. Dit is omdat Android-telefoons onlangs kwetsbaar bleken te zijn in een dergelijk scenario, hoewel Google al tegen de ontdekte risico’s heeft gepatcht.
Geen teken van actief misbruik
Het geruststellende is dat MediaTek nog geen exploitaties heeft gevonden van de gemelde kwetsbaarheden. Er is inmiddels een patch beschikbaar. De vraag is echter of alle apparaten met deze zwakke plekken wel gepatcht zullen worden. Regelmatig worden IoT-devices bijvoorbeeld uit het oog verloren in een IT-omgeving, terwijl ze kunnen gelden als penetratiepunt voor cyberaanvallers, die vervolgens lateraal door het netwerk bewegen.
Lees ook: Cyberhaven-inbreuk door kwaadaardige Chrome-extensie