CVE-2013-2597

Buffer overflow baseado em stack na função acdb_ioctl do driver de áudio ACDB (audio_acdb.c), usado em contribuições da Qualcomm Innovation Center (QuIC) para Android em chipsets MSM. Uma aplicação local com acesso ao device node /dev/msm_acdb pode escalar privilégios até execução em contexto de kernel. Está no catálogo KEV da CISA desde 2022, confirmando exploração real, apesar de ser uma falha de 2013 só publicada oficialmente em 2014 — típica de vulnerabilidades usadas em toolkits de root para Android que ressurgem anos depois em auditorias de dispositivos legados.

A falha é um stack-based buffer overflow (CWE-119) na rotina de tratamento de ioctl do driver acdb, que gerencia a Audio Calibration Database em SoCs Qualcomm MSM. O driver expõe o device /dev/msm_acdb e aceita chamadas ioctl que recebem um argumento de tamanho (size) controlado pelo chamador. A função copia dados para um buffer alocado na stack sem validar corretamente esse valor de tamanho contra o espaço disponível, permitindo que um valor grande sobrescreva memória adjacente na pilha do kernel.

O atacante controla dois elementos: o valor de size passado no argumento do ioctl e, dependendo da implementação, o conteúdo copiado para o buffer. Isso é o suficiente para corromper o stack frame da função e, em última instância, redirecionar fluxo de execução ou sobrescrever estruturas de controle dentro do contexto do kernel — daí o impacto total em confidencialidade, integridade e disponibilidade refletido no vetor CVSS (C:H/I:H/A:H).

O detalhe crítico é a superfície de exposição: a vulnerabilidade só é alcançável por quem consegue abrir e operar ioctl sobre /dev/msm_acdb. Isso depende das permissões do device node no sistema de arquivos do dispositivo e, em builds Android mais modernas, de políticas SELinux que restringem quais domínios podem acessar esse driver.

O vetor é estritamente local (AV:L): não há componente de rede. Um aplicativo instalado no dispositivo Android — sem privilégios elevados, sem interação do usuário e sem necessidade de autenticação adicional (PR:N, UI:N) — abre /dev/msm_acdb e envia um ioctl com um valor de size manipulado para acionar o overflow. A complexidade de ataque é classificada como baixa (AC:L), o que combinado com o impacto total explica o CVSS de 8.4.

Na prática, o pré-requisito que a nota do CVSS não deixa óbvio é a exposição do device node: em dispositivos onde as permissões de /dev/msm_acdb são restritas a UID/GID de sistema (áudio) ou onde SELinux enforcing bloqueia domínios de app comuns, a exploração direta por um app de terceiros fica bloqueada. A vulnerabilidade ficou historicamente associada a cadeias de exploração usadas para obter root em dispositivos Android baseados em MSM, cenário em que o objetivo final do atacante é escalar de um processo de app não privilegiado para execução em nível de kernel, obtendo controle total do dispositivo.

A presença no catálogo KEV da CISA confirma exploração ativa, mas as fontes disponíveis não detalham qual campanha ou ferramenta específica a utilizou nem a data original da exploração observada — apenas a data de inclusão no catálogo (2022-09-15) e o prazo de remediação definido (2022-10-06) para agências federais dos EUA sob a BOD 22-01.

As fontes consultadas não fornecem números exatos de versão de kernel, de driver ou de firmware corrigidos — o advisory original da Code Aurora (Qualcomm Innovation Center) está referenciado apenas via link e via cópia em web archive, sem o texto completo do patch. Não é seguro afirmar aqui uma versão específica corrigida; qualquer numeração de kernel ou build de dispositivo deve ser confirmada diretamente no advisory do fabricante do SoC ou do OEM que distribuiu o firmware do dispositivo Android afetado.

A ação recomendada pela CISA é 'aplicar atualizações conforme instruções do fornecedor'. Como se trata de driver de kernel específico de SoC (Qualcomm MSM), a correção chega via atualização de firmware/kernel do fabricante do dispositivo, não via patch genérico de kernel Linux upstream. Dispositivos Android antigos que não recebem mais atualizações de firmware permanecem vulneráveis indefinidamente — não há patch aplicável pelo usuário final fora da atualização completa do sistema.

Como controle compensatório, restringir ou remover o acesso de aplicações de terceiros ao device node /dev/msm_acdb (via permissões de arquivo e políticas SELinux enforcing) reduz a superfície de ataque, mas não corrige a falha em si — qualquer processo que ainda tenha acesso ao node permanece capaz de explorar o overflow. Não considerar 'dispositivo sem update recente' como mitigado apenas porque o app malicioso não tem privilégios root: a CVE existe justamente para permitir a escalada a partir desse estado.

Não há assinatura de rede a monitorar, pois a exploração é inteiramente local. Em nível de host, o sinal possível é a chamada de ioctl para o device /dev/msm_acdb com um argumento de tamanho (size) anormalmente grande, algo detectável apenas com instrumentação de auditoria de syscalls/ioctl no kernel (ex.: auditd configurado para o device, ou LKM de monitoramento) — não é um controle presente por padrão na maioria dos builds Android.

Na ausência dessa instrumentação, o indício indireto é a ocorrência de kernel panics, oops ou reinícios inesperados do subsistema de áudio correlacionados com a instalação ou execução de um app suspeito; isso não é um sinal confiável de exploração bem-sucedida, apenas de tentativa ou de exploit malformado.