Qualcomm 在新年第一天曝光了一项重要的安全漏洞，这个漏洞可能通过 LTE 网络的恶意语音电话发起远程攻击。根据最新发布的 2024 年 1 月安全公告，总共发现了 26 个漏洞，其中包括四个严重漏洞，影响 Qualcomm 的芯片组。这些安全补丁已经提供给使用 Qualcomm 芯片的原始设备制造商OEMs，包括流行的 Snapdragon 系列。
最严重的漏洞被追踪为 CVE202333025，根据 Qualcomm 的说法，它的 CVSS 得分为 98。此漏洞涉及经典的缓冲区溢出缺陷，会导致数据调制解调器内存损坏。该问题在进行 LTE 语音通话VoLTE时发生，具体原因在于会话描述协议SDP体的格式不规范。
SDP 通常用于促进两个设备之间的通信连接，例如 VoLTE 通话，它以标准化格式提供某些会话、媒体、时间和网络信息。如果远程攻击者能够操控 SDP 体内容并发起电话，这样接收设备的数据调制解调器就会处理恶意的 SDP，从而可能导致内存损坏，并使攻击者能够进行远程代码执行RCE。
快喵加速器ios版本Qualcomm 发言人对 SC Media 表示，尽管可能存在这种利用漏洞的情况，但实际实现相对困难，因为攻击者需要控制整个 LTE 网络。因此，建议用户仅连接安全和受信技术的 LTE 网络。
CVE202333025 影响了 24 个 Qualcomm 芯片组，包括 Snapdragon 680 和 Snapdragon 685 4G 移动平台。这些芯片被广泛用于多款智能手机和平板电脑，包括三星 Galaxy、摩托罗拉 Moto 以及华为 Enjoy 和 Nova 系列。新的 Snapdragon X65 5G 调制解调器和 Snapdragon X70 调制解调器 RF 系统亦受波及。
OEM 于 2023 年 7 月 7 日首次接收到此漏洞的通知，为他们提供了大约六个月的时间进行系统更新。Qualcomm 发言人表示，CVE202333025 将在 2024 年 1 月的 Android 安全公告 中提及。
此外，还有三个本地访问漏洞也被标记为严重漏洞，其中一个可能导致永久性拒绝服务DoS，另外两个则导致内存损坏。
CVE202333036 的安全评级由 Qualcomm 评为严重，CVSS 得分高达 71，因 NULL 指针解引用导致超监控软件的永久中断。此问题发生在没有电源状态协调接口PSCI支持的非信任虚拟机进行 PSCI 调用即与电源管理相关的请求时。该漏洞影响了 100 多种芯片组，包括许多在 Snapdragon 系列中。
CVE202333030 的 CVSS 得分为 93，也是一个缓冲区溢出漏洞，当运行 Microsoft PlayReady 使用场景即播放受 PlayReady 版权保护的媒体文件时会导致高层操作系统HLOS内存损坏。此漏洞影响了 200 多种芯片组，涵盖从智能手机和电脑芯片到可穿戴设备及其他物联网设备。
CVE202333032 同样具有 93 的 CVSS
