صدها میلیون دستگاه به‌ویژه تلفن‌های هوشمند اندرویدی که از چیپ‌های کوالکام استفاده می‌کنند، تحت تاثیر یک آسیب‌پذیری قرار گرفته‌اند. به‌گفته‌ی محققان امنیتی از شرکت چک‌پوینت، مهاجمان با بهره‌برداری از این آسیب‌پذیری می‌توانند اطلاعات حساس که در بخش محافظت‌شده‌ی سیستم قرار دارد، به سرقت ببرند. این آسیب‌پذیری در بخش Qualcomm’s Secure Execution Environment (QSEE) این چیپ‌ها وجود دارد که یک پیاده‌سازی از محیط اجرای قابل اعتماد TEE مبتنی بر فناوری ARM TrustZone است.
فناوری QSEE یک ناحیه‌ی امن ایزوله‌شده‌ی سخت‌افزاری روی پردازنده‌ی اصلی است که مدعی است از اطلاعات حساس محافظت کرده و یک محیط امن جداگانه (REE) را برای برنامه‌های قابل اعتماد فراهم می‌کند. این فناوری همچنین دارای کلیدهای رمزنگاری خصوصی، پسوردها، گواهی‌نامه‌ها و اطلاعات کارت‌های اعتباری نیز می‌باشد.
به دلیل اینکه این فناوری مبتنی بر حداقل امتیازات است، ماژول‌های معمول مانند درایورها و برنامه‌های کاربردی نمی‌توانند به‌جز در موارد ضروری، به اطلاعات ذخیره‌شده در این بخش دسترسی داشته باشند. این برنامه‌ها و درایورها باید دارای مجوزهای روت باشند تا بتوانند به اطلاعات این ناحیه دست پیدا کنند. فهرستی از اشکالات و آسیب‌پذیری‌ها در این چیپ را در ادامه مشاهده می‌کنید.
- dxhdcp2 (LVE-SMP-190005)
- sec_store (SVE-2019-13952)
- authnr (SVE-2019-13949)
- esecomm (SVE-2019-13950)
- kmota (CVE-2019-10574)
- tzpr25
- prov
به گفته‌ی محققان امنیتی، آسیب‌پذری‌هایی که در مولفه‌های امن کوالکام وجود دارد می‌تواند به مهاجم اجازه دهد تا به اجرای برنامه‌های قابل اعتماد در Normal World (Android OS) بپردازند، برنامه‌های وصله‌شده را در Secure World (QSEE) بارگذاری کنند و زنجیره‌ی اعتماد در کوالکام را دور بزنند. همچنین مهاجمان می‌توانند برنامه‌ی غیرقابل اعتماد را از دیگر دستگاه‌ها نیز بارگذاری کنند. به‌طور خلاصه آسیب‌پذیری در مولفه‌ی TEE می‌توانند دستگاه‌ها را در معرض حملات مختلفی قرار دهد. این آسیب‌پذیری همچنین دستگاه‌های تلفن همراه و اینترنت اشیاء را که برای نگهداری امن داده‌ها از QSEE استفاده می‌کنند، تحت تاثیر قرار داده است. محققان چک‌پوینت این آسیب‌پذیری‌ها را به شرکت‌های تحت‌تاثیر قرارگرفته گزارش داده و شرکت‌های سامسونگ، کوالکام و LG در حال حاضر وصله‌هایی را برای برطرف کردن آسیب‌پذیری‌های QSEE منتشر کرده‌اند.
