DolbyのUnified Decoderに存在する重大な脆弱性は、場合によってはユーザーの操作なしにリモートコード実行に悪用される可能性があります。
Dolby Digital Plus（DD+）規格を基盤とするUnified Decoderは、DD+、Dolby AC-4、その他のオーディオフォーマットを処理し、スピーカーで再生可能なフォーマットに変換するために使用されるソフトウェア/ハードウェアコンポーネントです。
このデコーダーは、Google Project ZeroのIvan Fratric氏とNatalie Silvanovich氏によって発見され、進化データの処理中にトリガーされるアウトオブバウンズ書き込みの問題が影響していました。
「デコーダーは進化情報を大きなヒープ状の連続バッファに書き込みますが、1回の書き込みの長さ計算が整数のオーバーフローにより溢れる可能性があります」とSilvanovich氏は説明しています。
この結果、割り当てられたバッファが小さすぎるものとなり、その後の書き込みに対するアウトオブバウンズチェックが効果的でなくなります。
「これにより、構造体の後続メンバーが上書きされる可能性があり、次のsyncframeが処理される際に書き込まれるポインタも含まれます」と彼女は述べています。
CVE-2025-54957（CVSSスコア7.0）として追跡されているこのセキュリティ欠陥は、悪意のあるオーディオメッセージを使用してトリガーされ、リモートコード実行につながります。
Silvanovich氏によると、Androidでは、すべてのオーディオメッセージや添付ファイルがDolbyのUnified Decoderでローカルにデコードされるため、ユーザーの操作なしにリモートから脆弱性を悪用できます。
このセキュリティ研究者は、Androidデバイス（Pixel 9およびSamsung S24）、macOS、iOSでバグを悪用してプロセスをクラッシュさせる方法を示す概念実証（PoC）エクスプロイトコードを公開しています。
「私たちはAndroid上でこのバグの悪用可能性を調査し、バージョン16 BP2A.250605.031.A2を実行するPixel 9のmediacodecコンテキストでゼロクリックのコード実行を達成しました」とSilvanovich氏は述べています。
Google Project Zeroは6月にDolby Laboratoriesにこのセキュリティ欠陥を報告し、90日間の公開期限が過ぎて修正が展開された後に情報を公開しました。
Microsoftは10月のPatch Tuesdayアップデートの一環としてこの脆弱性を修正し、Windowsでの悪用にはユーザー操作が必要であることを明記しました。先週、Googleは最新のChromeOSアップデートにパッチが含まれていると発表しました。
翻訳元: https://www.securityweek.com/vulnerability-in-dolby-decoder-can-allow-zero-click-attacks/
