CVE-2025-21480
Qualcomm Multiple Chipsets Incorrect Authorization Vulnerability
Beschreibung
CVE-2025-21480 ist eine Schwachstelle durch fehlerhafte Autorisierung in Qualcomm-GPU-Mikroknoten, die zu einer Speicherbeschaedigung fuehren kann. Aehnlich wie CVE-2025-21479 ermoeglicht die Schwachstelle einem Angreifer, durch das Ausfuehren einer bestimmten Befehlssequenz unbefugte Befehle im GPU-Subsystem auszufuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 8.6 (HIGH) bewertet.
Die CISA hat CVE-2025-21480 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 24. Juni 2025. Der EPSS-Score betraegt 1.521 % (81. Perzentil), was auf eine erhoehte Wahrscheinlichkeit aktiver Ausnutzung hindeutet. Betroffen ist ein breites Spektrum von Qualcomm-Chipsaetzen, die in mobilen Endgeraeten und anderen Plattformen weltweit eingesetzt werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| qualcomm | aqt1000 firmware | - |
| qualcomm | fastconnect 6200 firmware | - |
| qualcomm | fastconnect 6700 firmware | - |
| qualcomm | fastconnect 6800 firmware | - |
| qualcomm | fastconnect 6900 firmware | - |
| qualcomm | fastconnect 7800 firmware | - |
| qualcomm | qca6391 firmware | - |
| qualcomm | qcm4490 firmware | - |
| qualcomm | qcs4490 firmware | - |
| qualcomm | sc8380xp firmware | - |
| qualcomm | sd855 firmware | - |
| qualcomm | sm4635 firmware | - |
| qualcomm | sm6250 firmware | - |
| qualcomm | sm6650 firmware | - |
| qualcomm | sm6650p firmware | - |
| qualcomm | sm7325p firmware | - |
| qualcomm | sm7635 firmware | - |
| qualcomm | sm7675 firmware | - |
| qualcomm | sm7675p firmware | - |
| qualcomm | sm8550p firmware | - |
Referenzen
Schwachstellentyp
CWE-863: Fehlerhafte Autorisierung
CVE-2025-21480 basiert auf CWE-863 (Fehlerhafte Autorisierung), bei der eine vorhandene Autorisierungspruefung fehlerhaft implementiert ist. Im Kontext des Qualcomm-GPU-Mikroknotens ermoeglicht die fehlerhafte Pruefung das Ausfuehren bestimmter Befehlssequenzen, die eigentlich blockiert werden sollten, was zu Speicherbeschaedigung fuehrt.
Weitere Informationen: CWE-863 — Fehlerhafte Autorisierung
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-21480 sind nahezu identisch mit der Schwester-Schwachstelle CVE-2025-21479 und ebenso schwerwiegend. Der CVSS-Vektor zeigt einen lokalen Angriffsvektor (AV:L) mit niedriger Komplexitaet (AC:L) und keinen erforderlichen Privilegien (PR:N), jedoch ist Benutzerinteraktion erforderlich (UI:R). Der veraenderte Scope (S:C) bedeutet, dass die Schwachstelle ueber die verwundbare GPU-Komponente hinauswirken kann. Vertraulichkeit (High): Sensible Daten im Geraeatespeicher koennen durch die Speicherbeschaedigung offengelegt werden. Integritaet (High): Ein Angreifer kann Daten auf dem Geraet manipulieren und potenziell Schadcode einschleusen. Verfuegbarkeit (High): Die Speicherkorruption kann zu Systeminstabilitaet oder einem vollstaendigen Geraeteausfall fuehren. Mit einem EPSS-Score von 1.521 % im 81. Perzentil ist die Ausnutzungswahrscheinlichkeit hoeher als bei der verwandten CVE-2025-21479, was auf breitere Angriffsaktivitaet hindeutet.
Exploit-Reifegrad
CVE-2025-21480 weist eine mittlere bis hohe Exploit-Reife auf. Die Aufnahme in den CISA KEV-Katalog bestaetigt aktive Ausnutzung in der Praxis, mit einer Behebungsfrist bis zum 24. Juni 2025. Der EPSS-Score von 1.521 % (81. Perzentil) platziert diese Schwachstelle deutlich ueber dem Durchschnitt der Ausnutzungswahrscheinlichkeit und zeigt an, dass Angreifer aktiv nach Moeglichkeiten suchen, diese Schwachstelle auszunutzen. Es sind keine oeffentlichen Exploit-Codes in den verfuegbaren Referenzen verzeichnet, was darauf hindeutet, dass die Ausnutzung derzeit durch gezielte Bedrohungsakteure erfolgt. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Firmware-Update installieren: Wenden Sie die Patches aus dem Qualcomm Juni 2025 Security Bulletin an. Geraetehersteller muessen die Patches in ihre Firmware integrieren und zeitnah an Endnutzer ausliefern.
-
Geraeteinventar pruefen: Identifizieren Sie alle Geraete mit betroffenen Qualcomm-Chipsaetzen (darunter AQT1000, FastConnect 6200-7800, QCA6391, QCM4490, QCS4490, SC8380XP, SD855, SM4635, SM6250, SM6650, SM7325P, SM7635, SM7675 und SM8550P) und priorisieren Sie deren Aktualisierung.
-
Benutzer sensibilisieren: Da Benutzerinteraktion fuer die Ausnutzung erforderlich ist, schulen Sie Mitarbeiter im Umgang mit verdaechtigen Inhalten und Links, die praeparierte GPU-Befehle ausloesen koennten.
-
Netzwerk-Monitoring verstaerken: Ueberwachen Sie mobile Geraete auf ungewoehnliches Verhalten wie unerwartete GPU-Nutzung, Abstuerze oder unbekannte Prozesse, die auf eine Kompromittierung hindeuten koennten.
-
Defense-in-Depth: Setzen Sie auf mehrschichtige Sicherheitsmassnahmen einschliesslich MDM-Loesungen, Endpunkt-Erkennung und zentralisierter Autorisierungspruefungen fuer Firmware-Komponenten.
Technische Details
CVE-2025-21480 betrifft den GPU-Mikroknoten in einer Reihe von Qualcomm-Chipsaetzen und ist eng verwandt mit CVE-2025-21479. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H ist identisch mit der verwandten Schwachstelle. Der Angriff erfordert lokalen Zugang (AV:L) mit niedriger Komplexitaet (AC:L), keine Privilegien (PR:N), aber Benutzerinteraktion (UI:R).
Die technische Ursache liegt in einer fehlerhaften Autorisierungspruefung (CWE-863) im GPU-Mikroknoten. Bestimmte Befehlssequenzen werden nicht ordnungsgemaess gegen Autorisierungsrichtlinien geprueft, was die Ausfuehrung unbefugter GPU-Befehle ermoeglicht. Diese Befehle koennen den GPU-Speicher beschaedigen, und aufgrund des veraenderten Scopes (S:C) kann die Beschaedigung ueber die GPU-Komponente hinaus auf das Gesamtsystem uebergreifen.
Der Unterschied zu CVE-2025-21479 liegt im betroffenen Chipsatz-Umfang: CVE-2025-21480 betrifft zusaetzlich den SC8380XP-Chipsatz, der in Laptops und Always-Connected-PCs verwendet wird. Die uebrigen betroffenen Plattformen ueberschneiden sich weitgehend, darunter FastConnect 6200-7800, QCA6391, QCM4490, SD855 und die SM-Serie.
Häufig gestellte Fragen
Wird CVE-2025-21480 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-21480 in den KEV-Katalog aufgenommen, was eine aktive Ausnutzung bestaetigt. Der EPSS-Score von 1.521 % im 81. Perzentil deutet auf eine erhoehte Ausnutzungswahrscheinlichkeit hin. Die Behebungsfrist ist der 24. Juni 2025.
Welche Produkte sind von CVE-2025-21480 betroffen?
Betroffen sind zahlreiche Qualcomm-Chipsaetze, darunter AQT1000, FastConnect 6200/6700/6800/6900/7800, QCA6391, QCM4490, QCS4490, SC8380XP, SD855, SM4635, SM6250, SM6650, SM7325P, SM7635, SM7675 und SM8550P. Diese Chips kommen in Smartphones, Tablets und Laptops verschiedener Hersteller zum Einsatz.
Was ist der Unterschied zwischen CVE-2025-21479 und CVE-2025-21480?
Beide Schwachstellen betreffen fehlerhafte Autorisierung im GPU-Mikroknoten von Qualcomm-Chipsaetzen. CVE-2025-21480 betrifft jedoch zusaetzlich den SC8380XP-Chipsatz, der in Laptops und Always-Connected-PCs verwendet wird. Beide sollten gleichzeitig gepatcht werden.
Wie schwerwiegend ist CVE-2025-21480?
Mit einem CVSS-Score von 8.6 (HIGH) ist die Schwachstelle als schwerwiegend einzustufen. Der veraenderte Scope ermoeglicht Auswirkungen ueber das GPU-Subsystem hinaus auf das gesamte Geraet. Alle drei Impact-Metriken sind auf High gesetzt, was eine vollstaendige Kompromittierung von Vertraulichkeit, Integritaet und Verfuegbarkeit bedeutet.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.