Un fallo de alta gravedad en el Unified Decoder de Dolby ha sido identificado como una amenaza significativa para la seguridad de audio y multimedia. El error permite ataques remotos sin interacción del usuario.
Vulnerabilidad descubierta por Google Project Zero
La vulnerabilidad se denomina CVE-2025-54957 y fue identificada por investigadores del proyecto Google Project Zero. El Unified Decoder es ampliamente utilizado en móviles, ordenadores y sistemas multimedia para interpretar formatos DD+ y otros estándares de audio avanzados.
Detalles técnicos de la vulnerabilidad
El fallo presenta un error de escritura fuera de límites (out-of-bounds write) cuando procesa datos de evolución en archivos de audio. Un defectuoso cálculo de la longitud puede desembocar en un buffer insuficiente, facilitando que el atacante sobrescriba partes críticas del sistema en memoria.
Impacto y explotación
CVE-2025-54957 puede ser explotada mediante archivos de audio especialmente diseñados. La explotación permite a un atacante ejecutar código remoto y silenciosamente en el contexto de mediacodec en Android, o provocar fallos (crash) en macOS y iOS.
Impacto específico en Android
El impacto es especialmente grave en Android, donde la explotación es zero-click: no es necesario que el usuario interactúe con el archivo malicioso. Basta con que el dispositivo reciba un mensaje de audio o adjunto, ya que el decodificador procesa el audio automáticamente.
Acciones recomendadas para mitigar la vulnerabilidad
- Los parches distribuidos por fabricantes están disponibles para Android, Windows y ChromeOS.
- Los usuarios deben aplicar cuanto antes los parches distribuidos por fabricantes.
- Es recomendable no abrir archivos de audio de procedencia desconocida.
- Para administradores, se recomienda supervisar logs y alertas de actividad anómala en sistemas sensibles.