De Android-drivers voor de Qualcomm Adreno GPU kenden ten minste negen kwetsbaarheden. Talloze smartphones waren lang kwetsbaar.
Dat onthulden drie Google-onderzoekers tijdens het Defcon-evenement te Las Vegas. Ze hadden Qualcomm eerder geïnformeerd over de kwetsbaarheden, die sinds mei 2024 allemaal gepatcht zijn.
Qualcomm gebruikt Adreno-GPU’s in de eigen Snapdragon SoC’s, die in het overgrote merendeel van hoogwaardige Android-toestellen zitten. Terwijl de aandacht voor kwetsbaarheden zich bovenal heeft gericht op die van CPU’s en van software, blijkt de GPU-route voor aanvallers steeds aantrekkelijker te zijn.
Hoge privileges
Het zwaartepunt van berekeningen verschuift al langer. GPU’s, met veelal (tien)duizenden kleinere cores, nemen steeds meer taken over van CPU’s. AI-workloads zijn hier binnen datacenters een voorbeeld van, waarbij GPU-compute voor generatieve AI onnoemelijk veel sneller werkt dan op de conventionele centrale processor. Ook smartphone-apps gaan mee in deze trend, zij het op kleinere schaal. GPU-acceleratie gaat al enige tijd verder dan het genereren van pixels en drijft extra functionaliteit en berekeningen aan binnen apps.
Dat heeft een keerzijde. Daar waar het aanvalspad via de CPU continu kleiner is gemaakt, is dat bij de GPU grotendeels genegeerd. Omdat GPU-drivers directe toegang tot geheugen hebben met kernel-privileges, zijn ze potentieel zeer aantrekkelijk voor misbruik. Aanvallers die zich richten op kwetsbaarheden binnen deze drivers, verkrijgen toegang tot de smartphone op een diep, gepriviligeerd niveau.
Open-source
De Adreno-software van Qualcomm is open-source. Daardoor konden de Google-onderzoekers zonder belemmeringen in de code rondkijken. De ontdekking viel op negen gevaren, elk ontstaan door de complexe interconnectiviteit van GPU-functies. Mazen daarin waren echter alleen exploiteerbaar als een aanvaller al toegang had tot het telefoontoestel van een gebruiker.
Volgens de onderzoekers zorgt de complexiteit van de Qualcomm-implementatie voor problemen. De software zou niet overzichtelijk genoeg zijn om de kwetsbaarheden eenvoudig op te sporen. Daarnaast is GPU-exploitatie lastig te traceren, omdat malware-scanners en andere verdedigingstechnieken zich net als securityonderzoekers vooral hebben geconcentreerd op CPU’s.
Lees ook: Nieuwe aanval op Linux-kernel omzeilt moderne security