谷歌修复安卓系统中遭攻击利用的两个零日漏洞及其他60处缺陷

admin 2025年4月8日22:37:29评论14 views字数 952阅读3分10秒阅读模式
谷歌修复安卓系统中遭攻击利用的两个零日漏洞及其他60处缺陷

谷歌在2025年4月的安卓安全更新中发布了62个漏洞的补丁,其中包括两个已被定向攻击利用的零日漏洞(zero-day)。

谷歌修复安卓系统中遭攻击利用的两个零日漏洞及其他60处缺陷

塞尔维亚当局利用的漏洞利用链
其中一个零日漏洞是Linux内核中ALSA设备USB音频驱动程序的高危权限提升漏洞(CVE-2024-53197)。
据报道,塞尔维亚当局利用该漏洞解锁被没收的安卓设备,这是以色列数字取证公司Cellebrite开发的零日漏洞利用链的一部分。
该漏洞利用链还包括:
(1)2月已修复的USB视频类零日漏洞(CVE-2024-53104)
(2)上月修复的人机接口设备零日漏洞(CVE-2024-50302)
某国际安全实验室在2024年年中分析塞尔维亚警方解锁设备的日志时发现了这一漏洞利用链。
谷歌的响应措施

谷歌在2月向BleepingComputer表示,这些修复补丁已于1月与OEM(原始设备制造商)合作伙伴共享。

"我们在收到报告前就已意识到这些漏洞及其利用风险,并迅速为安卓系统开发了修复补丁。1月18日,我们通过合作伙伴公告向OEM合作伙伴共享了这些补丁,"谷歌发言人告诉BleepingComputer。

本月修复的第二个零日漏洞
本月修复的第二个零日漏洞(CVE-2024-53150)是安卓内核信息泄露漏洞,由越界读取缺陷导致,本地攻击者无需用户交互即可访问受影响设备上的敏感信息。
其他安全更新内容
2025年3月的安卓安全更新还修复了其他60个安全漏洞,其中大部分是高危权限提升漏洞。
谷歌发布了两组安全补丁:
(1)2025-04-01安全补丁级别
(2)2025-04-05安全补丁级别
后者包含第一批的所有修复补丁,以及针对闭源第三方组件和内核子组件的安全补丁,这些补丁可能不适用于所有安卓设备。
谷歌Pixel设备会立即收到这些更新,而其他厂商通常需要更长时间来测试和调整安全补丁,以适应其特定的硬件配置。
此前修复的零日漏洞
2024年11月,谷歌还修复了另一个安卓零日漏洞(CVE-2024-43047)。该漏洞最初由谷歌Project Zero在2024年10月标记为已被利用,并被塞尔维亚政府用于NoviSpy间谍软件攻击活动人士、记者和抗议者的安卓设备。

原文始发于微信公众号(FreeBuf):谷歌修复安卓系统中遭攻击利用的两个零日漏洞及其他60处缺陷

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年4月8日22:37:29
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   谷歌修复安卓系统中遭攻击利用的两个零日漏洞及其他60处缺陷https://cn-sec.com/archives/3931968.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息