Snapdragon: un serio problema de seguridad para Android

Nadie puede cuestionar que con Snapdragon, Qualcomm ha sabido crear una línea de chips que se ajusta perfectamente a las necesidades del mercado de movilidad. Y esto, claro, ha ocasionado que se convierta en el fabricante de referencia para dispositivos basados en Android. Una historia de éxito que va sumando años y que otras tecnológicas observan con envidia. Sin embargo, un efecto peligroso de esa supremacía, es que si alguno de sus productos sufre un problema, éste afectará a una enorme cantidad de usuarios.

Y eso es lo que ha revelado la compañía de seguridad Check Point en el contexto del evento de seguridad DEF CON Safe Mode, un conjunto de problemas que afectan a los SoC Snapdragon que emplean la arquitectura Hexagon. Según los primeros cálculos, estos fallos de seguridad podrían afectar a 3.000 millones de smartphones Android, aproximadamente el 40% del parque de teléfonos inteligentes.

El problema se localiza en el procesador de señal digital (DSP) empleando en los SoC Snapdragon, un componente dedicado a agilizar la conversión de múltiples elementos de entrada para facilitar así el proceso de los mismos por parte de la CPU. Es un hecho probado que un DSP se traduce en un mejor rendimiento, tanto en lo referido a velocidad de proceso de dichos datos como a eficiencia energética, contribuyendo a una mayor durabilidad de la carga de la batería de los smartphones.

Identificados con los códigos CVE-2020-11201, CVE-2020-11202, CVE-2020-11206, CVE-2020-11207, CVE-2020-11208 y CVE-2020-11209, los seis problemas detectados en los SoC Snapdragon permitirían a un atacante recolectar toda la información que pasa por el procesador DSP del SoC, así como forzar el reinicio del dispositivos provocando un kernel panic e, incluso, llegar a inutilizarlo por completo, forzando de este modo su restauración a valores de fábrica. Check Point, siguiendo las buenas prácticas comunes en estos casos, no ha revelado la naturaleza de los problemas de Snapdragon, a la espera de que Qualcomm publique parches que permitan subsanar el problema.

El hipotético atacante que quiera emplear dichas vulnerabilidades debería persuadir al usuario del dispositivo a que instale una app maliciosa. No sabemos si Google puede impedir la llegada de las mismas a Play Store pero, aunque así sea (y cabe espera que sí), aún sería posible subirlas a tiendas no oficiales, una técnica que, desgraciadamente, resulta de lo más habitual y que, cada día, amenaza a la seguridad de millones de dispositivos y usuarios.

Qualcomm ya tiene conocimiento de los problemas de Snapdragon con Hexagon desde hace unos meses, y en principio los parches ya estarían listos. Además, según afirman, no se ha detectado presencia in the wild de ataques basados en estas vulnerabilidades. Afortunadamente, ya que hablamos de un problema que, incluso aunque los smartphones cuenten con alguna solución de seguridad, no puede ser evitada por éstas. El problema es que, aunque Qualcomm ya los ha remitido a Google, estos no parecen haber sido distribuidos en las actualizaciones de seguridad de Android. Esperamos que lo hagan lo antes posible.