CVE-2021-1906
Qualcomm Multiple Chipsets Detection of Error Condition Without Action Vulnerability
Beschreibung
CVE-2021-1906 ist eine mittelschwere Schwachstelle, die mehrere Qualcomm-Chipsets in einer Vielzahl von Produktfamilien betrifft, darunter Snapdragon Auto, Compute, Connectivity, Consumer IoT, Industrial IoT, Mobile, Voice & Music und Wearables. Die Schwachstelle betrifft die unsachgemäße Behandlung der Adress-Deregistrierung bei Fehlern, was zu einem Versagen der GPU-Adresszuweisung und zu einem Denial-of-Service führen kann. CISA hat diese Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 0,15 % (35,4. Perzentil) bleibt die Ausnutzungswahrscheinlichkeit gering, aber die bestätigte KEV-Aufnahme unterstreicht das reale Risiko für betroffene Geräte.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| qualcomm | apq8009 firmware | - |
| qualcomm | apq8009w firmware | - |
| qualcomm | apq8017 firmware | - |
| qualcomm | apq8053 firmware | - |
| qualcomm | apq8064au firmware | - |
| qualcomm | apq8096au firmware | - |
| qualcomm | aqt1000 firmware | - |
| qualcomm | ar8031 firmware | - |
| qualcomm | ar8035 firmware | - |
| qualcomm | ar8151 firmware | - |
| qualcomm | csra6620 firmware | - |
| qualcomm | csra6640 firmware | - |
| qualcomm | csrb31024 firmware | - |
| qualcomm | fsm10055 firmware | - |
| qualcomm | fsm10056 firmware | - |
| qualcomm | mdm9150 firmware | - |
| qualcomm | mdm9206 firmware | - |
| qualcomm | mdm9250 firmware | - |
| qualcomm | mdm9607 firmware | - |
| qualcomm | mdm9626 firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Referenzen
- https://www.qualcomm.com/company/product-security/bulletins/may-2021-bulletin(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-1906(US Government Resource)
Schwachstellentyp
Erkennung einer Fehlerbedingung ohne Aktion
Diese Schwachstelle bezieht sich auf die Erkennung einer Fehlerbedingung ohne angemessene Reaktion, bei der das System einen Fehler während der GPU-Adress-Deregistrierung erkennt, aber nicht angemessen darauf reagiert. Bei CVE-2021-1906 ergreift der Qualcomm-GPU-Treiber bei einem Fehler während der Adress-Deregistrierung keine korrigierende Maßnahme, was zu einem Zustand führt, in dem nachfolgende GPU-Adresszuweisungen fehlschlagen und einen Denial-of-Service für grafikabhängige Operationen verursachen.
Mehr erfahren: Für diese Schwachstelle wurde von NVD keine formale CWE-Kennung zugewiesen.
Auswirkungsanalyse
CVE-2021-1906 hat einen CVSS 3.1-Score von 6,2 (MITTEL), was eine moderate Bedrohungsstufe darstellt, die hauptsächlich die Geräteverfügbarkeit betrifft. Die Schwachstelle erfordert lokalen Zugang, hat aber eine geringe Angriffskomplexität und erfordert keine Authentifizierung oder Benutzerinteraktion. Vertraulichkeit (Keine): Diese Schwachstelle legt keine sensiblen Daten offen. Integrität (Keine): Keine Datenänderung ist durch diese Schwachstelle möglich. Verfügbarkeit (Hoch): Erfolgreiche Ausnutzung verursacht GPU-Adresszuweisungsfehler, die grafikabhängige Anwendungen und Dienste funktionsunfähig machen können und effektiv einen Denial-of-Service auf dem betroffenen Gerät verursachen. Der Scope ist „Unchanged", die Auswirkung beschränkt sich auf die verwundbare GPU-Komponente. Obwohl der EPSS-Score von 0,15 % darauf hindeutet, dass die Ausnutzung nicht weit verbreitet ist, bestätigt die CISA-KEV-Aufnahme, dass diese Schwachstelle in gezielten Angriffen aktiv ausgenutzt wurde, wahrscheinlich als Teil von Exploit-Ketten gegen mobile Geräte.
Exploit-Reifegrad
CVE-2021-1906 wird durch die Aufnahme in den CISA-Katalog der bekannten ausgenutzten Schwachstellen als aktiv ausgenutzt bestätigt. Trotz des relativ niedrigen EPSS-Scores von 0,15 % (35,4. Perzentil), der darauf hindeutet, dass die Ausnutzung nicht weit verbreitet ist, zeigt die KEV-Aufnahme, dass diese Schwachstelle in gezielten Angriffen verwendet wurde. In den verfügbaren Referenzen wurde kein öffentlicher Exploit-Code identifiziert, was darauf hindeutet, dass die Ausnutzung möglicherweise auf versierte Bedrohungsakteure beschränkt ist. Diese Schwachstelle wurde wahrscheinlich als Teil einer breiteren Exploit-Kette gegen Qualcomm-basierte Mobilgeräte ausgenutzt, möglicherweise in Kombination mit CVE-2021-1905, einer verwandten Use-After-Free-Schwachstelle in Qualcomm-GPU-Treibern, die etwa zur gleichen Zeit in den KEV-Katalog aufgenommen wurde.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA KEV: Updates gemäß Herstelleranweisungen durchführen. Qualcomm hat Patches im Sicherheitsbulletin vom Mai 2021 veröffentlicht.
- Sicherstellen, dass alle betroffenen Qualcomm-Chipset-Firmware über die offiziellen Update-Kanäle des Geräteherstellers aktualisiert wird (OEM-Firmware-Updates für Android-Geräte, Embedded-System-Vendor-Updates für IoT-Bereitstellungen).
- Für Geräte, die nicht sofort aktualisiert werden können, die Exposition begrenzen, indem der physische und lokale Zugang zu betroffenen Geräten eingeschränkt, unnötige GPU-intensive Funktionen deaktiviert und Anwendungs-Sandboxing implementiert wird.
- Betroffene Geräte auf ungewöhnliche GPU-bezogene Fehler, Anwendungsabstürze oder unerklärliche Denial-of-Service-Bedingungen überwachen, die auf eine Ausnutzung dieser Schwachstelle hindeuten könnten.
- Die vollständige Liste der betroffenen Qualcomm-Chipsets im Sicherheitsbulletin von Mai 2021 prüfen und eine Bestandsaufnahme durchführen, um alle betroffenen Geräte in der Umgebung zu identifizieren, wobei Updates für internetfähige oder geschäftskritische Systeme priorisiert werden sollten.
Technische Details
CVE-2021-1906 betrifft den GPU-Treiber in mehreren Qualcomm-Chipset-Familien, einschließlich der Plattformen Snapdragon Auto, Compute, Connectivity, Consumer IoT, Industrial IoT, Mobile, Voice & Music und Wearables. Die Schwachstelle besteht in der unsachgemäßen Behandlung der Adress-Deregistrierung, wenn mehrere Prozesse gleichzeitig mit dem GPU-Treiber interagieren. Wenn eine Adress-Deregistrierungsoperation fehlschlägt, behandelt der Treiber die Fehlerbedingung nicht ordnungsgemäß und hinterlässt den internen Adressverwaltungszustand in einem inkonsistenten Zustand. Diese Inkonsistenz führt dazu, dass nachfolgende GPU-Adresszuweisungsanfragen fehlschlagen, was zu einem Denial-of-Service für jeden Prozess führt, der GPU-Ressourcen benötigt. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H bestätigt, dass lokaler Zugang erforderlich ist, die Ausnutzung aber unkompliziert und ohne Privilegien oder Benutzerinteraktion möglich ist, wobei die Auswirkung auf die Verfügbarkeit beschränkt ist.
Häufig gestellte Fragen
Wird CVE-2021-1906 aktiv ausgenutzt?
Ja. CVE-2021-1906 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet, was die aktive Ausnutzung bestätigt. Trotz des niedrigen EPSS-Scores von 0,15 % zeigt die KEV-Aufnahme, dass gezielte Ausnutzung stattgefunden hat, wahrscheinlich als Teil breiterer Exploit-Ketten gegen Mobilgeräte.
Welche Produkte sind von CVE-2021-1906 betroffen?
CVE-2021-1906 betrifft eine Vielzahl von Qualcomm-Chipsets in den Produktfamilien Snapdragon Auto, Compute, Connectivity, Consumer IoT, Industrial IoT, Mobile, Voice & Music und Wearables. Die vollständige Liste umfasst Dutzende von Chipset-Firmware-Paketen wie APQ8009, APQ8017, APQ8053, MDM9150, MDM9206, MDM9607 und viele weitere.
Wie behebe ich CVE-2021-1906?
Updates gemäß Herstelleranweisungen über das Qualcomm-Sicherheitsbulletin vom Mai 2021 anwenden. Für Endbenutzergeräte OEM-Firmware-Updates vom Gerätehersteller installieren. Für IoT- und Embedded-Geräte mit dem Gerätehersteller wegen aktualisierter Firmware koordinieren.
Wie schwerwiegend ist CVE-2021-1906?
CVE-2021-1906 hat einen CVSS 3.1-Score von 6,2 (MITTEL), wobei die Auswirkung auf die Verfügbarkeit (Denial-of-Service) beschränkt ist. Obwohl der Schweregrad moderat ist, bestätigt die CISA-KEV-Aufnahme die reale Ausnutzung und rechtfertigt eine zeitnahe Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.