[新聞]Google資安研究團隊示警:14款安卓手機有漏洞

[IDfor2010 (116)]

Google資安研究團隊示警：14款安卓手機有漏洞

記者邱倢芯／綜合報導

Google資安研究團隊Project Zero近期在Android作業系統上發現了零時差漏洞（
Zero-day，還沒有修補程式的安全漏洞），且這項漏洞目前已被以色列駭客公司NSO作為
攻擊的途徑。Project Zero目前存在這項漏洞的安卓手機，包括了三星Galaxy S7、S8、
S9、華為P20在內的14款機型。

受到此項漏洞影響的手機機款有：Galaxy S7、S8、S9；華為P20；Google Pixel、Pixle
XL、Pixel 2、Pixel 2 XL；小米A1、紅米5A、紅米Note 5；MOTO Z3、LG Android Oreo
；OPPO A3。

這項漏洞影響的作業系統版本為Android 8.x及更高版本，但早在2017年12月在該操作系
統的早期版本中，已被發現並修復；不過既然仍影響著這14款安卓手機，那麼有可能是補
丁並未延續到較新的版本當中。

不過Project Zero表示，這項零時差漏洞其實不若過去的漏洞那麼危險，因為這項漏洞需
要透過使用者安裝其他惡意軟體才能觸發前再利用；也就是說，如果沒有其他漏洞利用，
它將無法通過網絡瀏覽器或其他應用程式觸發。

https://www.ettoday.net/news/20191005/1550666.htm

--

心得：

零時差漏洞，通常是指還沒有修補程式的安全漏洞，而零日攻擊或零時差攻擊則是指利用
這種漏洞進行的攻擊。

總之，新聞是說這個資安漏洞，曾經被修補過(patched)，但是不知道為什麼，這個資安安
全漏洞的補丁並沒有被傳承下去，在之後的韌體更新中沒有加進去，所以這個漏洞目前依
然存在，大概是這個意思。

這是一個kernel裡頭binder驅動UAF的漏洞，漏洞的CVE編號為 CVE-2019-2215
駭客或攻擊者能夠利用該漏洞將用戶或APP的使用權限進行提升
，取得受影響設備的Root權限，並且能遠程完全控制設備。

這個漏洞可以從Chrome的sandbox進入，因此可與Chome rendering的漏洞組合後進行利用。

下圖是在Android 10 (安全補丁日期為2019年9月)的Pixel 2設備的PoC演示：
https://imgur.com/1fOwvm7


嗯嗯... 有14款手機受影響，大家參考下。

三星：Galaxy S7、S8、S9
華為：P20
Google Pixel、PixleXL、Pixel 2、Pixel 2 XL
小米：小米A1、紅米5A、紅米Note 5
MOTO Z3
LG Android Oreo
OPPO A3


--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.241.128.171 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/MobileComm/M.1570329161.A.F35.html
推 JerianGrant : 還好我都用Note2,3,4,5,8,9
→ jasn4560    : LG Android Oero應該是很多款手機吧xD
推 avmm9898    : 我的進入危險名單
推 fang314     : 上榜了
推 xiaoyao     : 本篇是在打臉 另一篇推文嗎？XD
→ xiaoyao     : #1Tc3oWSD (MobileComm)
推 idletime    : 看來一加可買
推 chitsaijang : G6上榜囉
推 dqdq        : 果然我用HTC是對的 台灣之光
推 digodi      : 小眾HTC沒事
推 rong1994    : 華碩太猛啦
推 abc21086999 : 反正我的3a都有最快的更新嘻嘻
推 shiwa       : pixel????
※ 編輯: IDfor2010 (111.241.128.171 臺灣), 10/06/2019 12:33:59
推 AJizzInPants: 推ups哥
推 s37166117   : htc重返榮耀
推 Yaoder      : 竟然沒華碩
推 pokjg       : 所以是更新就能補了?
推 poi96300    : Note是怎麼躲過的 不是的三星旗艦