Google资安研究团队示警：14款安卓手机有漏洞 记者邱倢芯／综合报导 Google资安研究团队Project Zero近期在Android作业系统上发现了零时差漏洞（ Zero-day，还没有修补程式的安全漏洞），且这项漏洞目前已被以色列骇客公司NSO作为 攻击的途径。Project Zero目前存在这项漏洞的安卓手机，包括了三星Galaxy S7、S8、 S9、华为P20在内的14款机型。 受到此项漏洞影响的手机机款有：Galaxy S7、S8、S9；华为P20；Google Pixel、Pixle XL、Pixel 2、Pixel 2 XL；小米A1、红米5A、红米Note 5；MOTO Z3、LG Android Oreo ；OPPO A3。 这项漏洞影响的作业系统版本为Android 8.x及更高版本，但早在2017年12月在该操作系 统的早期版本中，已被发现并修复；不过既然仍影响着这14款安卓手机，那麽有可能是补 丁并未延续到较新的版本当中。 不过Project Zero表示，这项零时差漏洞其实不若过去的漏洞那麽危险，因为这项漏洞需 要透过使用者安装其他恶意软体才能触发前再利用；也就是说，如果没有其他漏洞利用， 它将无法通过网络浏览器或其他应用程式触发。 https://www.ettoday.net/news/20191005/1550666.htm -- 心得： 零时差漏洞，通常是指还没有修补程式的安全漏洞，而零日攻击或零时差攻击则是指利用 这种漏洞进行的攻击。 总之，新闻是说这个资安漏洞，曾经被修补过(patched)，但是不知道为什麽，这个资安安 全漏洞的补丁并没有被传承下去，在之後的韧体更新中没有加进去，所以这个漏洞目前依 然存在，大概是这个意思。 这是一个kernel里头binder驱动UAF的漏洞，漏洞的CVE编号为 CVE-2019-2215 骇客或攻击者能够利用该漏洞将用户或APP的使用权限进行提升 ，取得受影响设备的Root权限，并且能远程完全控制设备。 这个漏洞可以从Chrome的sandbox进入，因此可与Chome rendering的漏洞组合後进行利用。 下图是在Android 10 (安全补丁日期为2019年9月)的Pixel 2设备的PoC演示： https://imgur.com/1fOwvm7 嗯嗯... 有14款手机受影响，大家参考下。 三星：Galaxy S7、S8、S9 华为：P20 Google Pixel、PixleXL、Pixel 2、Pixel 2 XL 小米：小米A1、红米5A、红米Note 5 MOTO Z3 LG Android Oreo OPPO A3 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 111.241.128.171 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/MobileComm/M.1570329161.A.F35.html ※ 编辑: IDfor2010 (111.241.128.171 台湾), 10/06/2019 12:33:59