最新安卓零日漏洞被曝出,或影響谷歌、華爲和小米等品牌手機

近日,據外媒BleepingComputer報道,谷歌威脅分析團隊(TAG)稱,一個最新的安卓0 day漏洞或被用於攻擊谷歌Pixel、華爲、小米和三星以及OPPO等智能手機。

該漏洞是由谷歌Project Zero研究人員Maddie Stone發現,其CVE編號爲CVE-2019-2215,從谷歌Pixel、華爲、小米、三星到OPPO等在內的至少18個型號的手機存在該漏洞。

順便說一下,谷歌Project Zero團隊近年來頗受關注,因爲該團隊發現一些重大安全漏洞。2014年7月,谷歌宣佈成立互聯網安全項目Project Zero,該團隊主要由谷歌內部頂尖的安全工程師組成,旨在發現、跟蹤和修補全球性的軟件安全漏洞。

據悉,它是安卓kernel的binder驅動的UAF漏洞,攻擊者利用該漏洞可將本地用戶或APP進行權限提升最終獲取受影響設備的root權限。並且,還有可能遠程控制設備。

根據Maddie Stone的說法,CVE-2019-2215的漏洞會影響“大多數2018年秋季之前的Android設備”。

谷歌Project Zero團隊已經確認下列Android設備易受攻擊:

  • 使用Android 9和Android 10預覽版的Pixel 1和2(以及XL)
  • 三星S7、S8、S9
  • 華爲P20
  • 紅米5A
  • 紅米Note 5
  • 小米A1
  • OPPO A3
  • Moto Z3
  • Oreo LG手機

谷歌Project Zero團隊一般會在90天后披露漏洞,而被主動利用的漏洞則需要7天的披露期限。

Stone說:“在7天或補丁廣泛發佈後,漏洞報告將向公衆披露。”

爲證明該漏洞可被利用獲取本地任意kernel讀寫權限,研究人員創建了本地的PoC漏洞利用。只需要非可信的APP代碼執行就可以利用該漏洞。

下圖是在運行安卓10(安全補丁日期爲2019年9月)的Pixel 2設備上的PoC演示:

據瞭解,存在漏洞的安卓kernel版本發佈時間早於2018年4月,2017年12月發佈的包含補丁的4.14 LTS Linux kernel只包含在AOSP 安卓kernel v3.18、4.4和4.9版本中。

谷歌的威脅分析團隊表示,“據稱該漏洞是由NSO使用或出售的。”據悉,NSO是一家以色列公司,它以開發、利用和銷售安卓和iOS間諜軟件等漏洞利用和工具而聞名,比如相當危險的手機間諜軟件Pegasus即出自該公司。

儘管成功利用此漏洞可以使潛在的攻擊者完全控制受感染的安卓設備,但不能將其用於遠程破壞設備。

AOSP聲明說,“在Android上,此問題的嚴重性等級很高,它本身需要安裝惡意應用程序才能進行潛在利用。任何其他媒介,例如通過Web瀏覽器,都需要與其他利用結合起來。”

“我們已經通知Android合作伙伴,並且該補丁已在Android Common Kernel上提供。Pixel 3和3a設備不易受到攻擊,而Pixel 1和2設備將在10月更新中收到此問題的更新。”

相關文章:

Actively Exploited Android Zero-Day Impacts Google, Samsung Devices

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章