CVE-2021-1905

Use-after-free (CWE-416) no tratamento de mapeamento de memória quando múltiplos processos acessam a mesma região simultaneamente, presente em múltiplas linhas de chipset Qualcomm Snapdragon (Auto, Compute, Connectivity, Consumer IOT, Industrial IOT, Mobile, Voice & Music, Wearables). Importa porque está no catálogo KEV da CISA — ou seja, há confirmação de exploração real, não é risco teórico — e o vetor é local (AV:L), o que normalmente reduziria a urgência, mas em Android esse tipo de falha de kernel/driver é peça padrão em cadeias de exploração usadas para escalar privilégios após um primeiro estágio (ex: um app malicioso, um exploit de navegador ou um clique em link).

A falha está na camada de driver que lida com mapeamento de memória (memory mapping) quando dois ou mais processos operam sobre a mesma estrutura de mapeamento ao mesmo tempo. O padrão clássico de use-after-free se aplica: um processo libera (free) uma referência ou objeto de mapeamento enquanto outro processo ainda mantém um ponteiro válido para essa mesma região, e o driver não sincroniza corretamente o ciclo de vida do objeto entre os dois contextos concorrentes. O resultado é acesso a memória já liberada, que pode ser realocada e populada com dados controlados pelo atacante.

O CVSS 3.1 8.4 (AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica que a exploração exige acesso local ao dispositivo — não é algo disparável remotamente por rede — mas não exige privilégio (PR:N) nem interação do usuário (UI:N), e o impacto é total em confidencialidade, integridade e disponibilidade sem mudança de escopo. Isso é consistente com uma falha em driver de kernel: qualquer processo local, mesmo sem privilégios elevados, que consiga acionar a condição de corrida no mapeamento de memória pode potencialmente executar código no contexto do kernel ou de um processo privilegiado.

A descrição oficial da Qualcomm não especifica qual subsistema exato (não há confirmação, nas fontes consultadas, de qual driver — gráfico, câmera, áudio etc. — implementa esse mapeamento). O boletim da Qualcomm de maio de 2021 é a fonte primária, mas o conteúdo detalhado de módulo/arquivo afetado não estava disponível nas fontes revisadas para esta página; portanto não é possível apontar o componente de código com precisão sem inflar a informação.

Pré-requisito real: execução local de código no dispositivo, mesmo sem privilégios administrativos (PR:N). Isso normalmente significa que o atacante já obteve um primeiro estágio de execução — por exemplo, um aplicativo instalado, um processo comprometido por outro exploit, ou uma sandbox de navegador já quebrada — e usa esta falha de use-after-free para escalar privilégios ou executar código em contexto de kernel/driver, contornando isolamento de processo.

A presença no catálogo KEV da CISA confirma exploração ativa in-the-wild, mas o próprio catálogo não detalha o vetor de entrega nem atribui a campanhas específicas nas informações disponíveis aqui. A existência de PoC pública, somada à condição de corrida entre múltiplos processos, torna a exploração reproduzível para quem tem acesso ao hardware e entende a interface do driver, mas ainda depende de vencer uma janela de corrida (race condition), o que costuma exigir engenharia cuidadosa e, em alguns casos, múltiplas tentativas.

O ganho final documentado pela CISA é escalonamento de privilégio via corrupção de memória (uso após liberação), consistente com o impacto C:H/I:H/A:H do CVSS. Não há, nas fontes revisadas, atribuição pública a uma família de malware ou grupo de ameaça específico para esta CVE isolada.

A ação recomendada pela CISA é genérica: aplicar as atualizações conforme instruções do fornecedor. Como esta é uma vulnerabilidade de chipset Qualcomm, a correção não chega diretamente ao usuário final — a Qualcomm publica o patch para os fabricantes de dispositivo (OEMs), que precisam incorporá-lo em uma atualização de firmware/ROM e distribuí-la. Isso significa que o tempo real de exposição depende do OEM do seu aparelho, não só da Qualcomm.

O boletim oficial está em qualcomm.com/company/product-security/bulletins/may-2021-bulletin; ele deve ser consultado para a lista granular de chipsets e versões de componente afetadas, informação que não estava disponível em detalhe nas fontes revisadas para esta página — evite assumir que um chip específico está ou não vulnerável sem checar essa lista.

Para dispositivos que não recebem mais atualização de firmware (comum em wearables e IoT Snapdragon fora de suporte), não há paliativo de configuração conhecido que neutralize uma falha de driver de kernel — reduzir a superfície de instalação de aplicativos não confiáveis diminui a chance do atacante obter o primeiro estágio de execução local necessário, mas não corrige a falha em si. Não existe mitigação via WAF ou controle de rede, já que o vetor é local (AV:L).

Não há assinatura de rede aplicável, já que a exploração é local (AV:L) — não há tráfego de rede a inspecionar. Em nível de dispositivo, sinais possíveis incluem crashes ou reinícios anômalos do processo de driver gráfico/kernel, logs de kernel (dmesg/logcat em Android) com mensagens de falha de acesso a memória ou kernel panic relacionados ao subsistema de mapeamento de memória, e comportamento de escalonamento de privilégio inesperado por processos que normalmente rodam sem privilégio elevado. Nenhuma das fontes revisadas fornece um indicador de comprometimento (IOC) específico ou assinatura EDR validada para esta CVE; a ausência de detalhe público sobre o vetor de entrega limita a capacidade de threat hunting direcionado.