高通400多个芯片存在漏洞，威胁数百万部Android手机

admin
admin
admin
138674
文章
114
评论
2020年8月9日18:14:52评论152 views字数 2022阅读6分44秒阅读模式

高通400多个芯片存在漏洞，威胁数百万部Android手机

安全研究人员在为Android手机提供动力的Qualcomm Snapdragon芯片中发现了数百条易受攻击的代码。
安全研究人员已经在Qualcomm Snapdragon数字信号处理器（DSP）芯片中发现了400多个易受攻击的代码，这些代码为Google，三星，LG，小米，OnePlus和其他设备制造商的数百万高端智能手机提供了动力。
DSP是一个片上系统，其硬件和软件旨在支持不同的智能手机功能，例如“快速充电”，视频和高清捕获等多媒体功能以及不同的音频功能。几乎所有现代智能手机都具有这些芯片之一。
Check Point研究人员注意到，高通公司的Snapdragon芯片是Android智能手机中最常见的芯片，他们发现了被集体称为“致命弱点”的漏洞。网络研究负责人亚尼夫·巴尔马斯（Yaniv Balmas）说，它的受欢迎程度是研究人员决定探索它的原因。

高通400多个芯片存在漏洞，威胁数百万部Android手机

研究人员测试的DSP芯片中发现了400多个易受攻击的代码段。攻击者可能会利用这些漏洞以多种方式利用目标智能手机。一种可能的攻击可能涉及将电话变成间谍工具并窃取数据，包括照片，视频，通话记录，实时麦克风数据，GPS和位置，而无需用户交互。
或者，攻击者可以利用这些漏洞使目标手机始终不响应，并确保永久不提供存储在手机上的照片，视频，联系方式和其他信息-“换句话说，有针对性的拒绝服务攻击”。Check Point研究人员在博客文章中写道他们的发现。他们补充说，这些攻击中的恶意软件和其他恶意代码可能掩盖攻击者的活动并变得不可移动。
为了成功启动其中任何一个，攻击者需要创建一个恶意应用程序，然后诱使用户下载它。但是，该过程涉及多个缺陷。
Balmas解释说：“一旦了解了整个生态系统，利用起来并不难，但它是由许多活动的部分组成的，攻击者需要深入了解每个部分，并链接多个漏洞才能利用它们。” 
他补充说，这些问题大部分是在编译时引入的，这意味着即使有人编写了安全的DSP应用程序，当用户尝试对其进行编译时，也会插入这些漏洞。研究人员报告说，Check Point保留了这些漏洞的全部技术细节，直到移动供应商创建解决方案来减轻可能的风险范围。
研究人员与高通公司分享了他们的发现，高通公司通知了相关设备供应商，并分配了以下CVE：CVE-2020-11201，CVE-2020-11202，CVE-2020-11206，CVE-2020-11207，CVE-2020-11208和CVE-2020-11209。
Balmas指出，高通通过发布新的编译器和新的软件开发套件以及其他解决方法来应对漏洞。但这还没有结束–这些漏洞影响着数百万部Android手机；现在，由制造商提供其他修复程序并完全保护用户。
Balmas解释说：“对于供应商而言，这意味着他们将需要重新编译他们使用的每个DSP应用程序，对其进行测试并解决可能发生的任何问题。” “然后，他们需要将这些修补程序运送到市场上的所有设备。” 他补充说，这可能是一个漫长的过程，许多供应商将需要这样做。他补充说，全面缓解措施至少要花费几个月的时间-“可能还要更多。” 
DSP芯片可在现代智能手机上实现更多功能，但它们也代表了一种新的移动攻击媒介。Balmas说，攻击者的进入门槛很高，但是一旦有人获得了相关知识，DSP就会成为“完美的目标”。与主操作系统不同，目前没有旨在保护片上软件（SoC）的移动解决方案。
研究人员在论文中解释说：“由于将DSP芯片作为“黑匣子”进行管理，因此它们更容易遭受风险，因为除制造商之外，其他任何人都很难审查其设计，功能或代码。”

高通公司在一份声明中说，没有证据表明这些漏洞是在野外被利用的。

       一位发言人说：“关于Check Point披露的Qualcomm Compute DSP漏洞，我们努力进行了验证，并为OEM提供了适当的缓解措施。” 鼓励用户在补丁可用时更新其设备，并仅从受信任的位置（例如Google Play商店）安装应用程序。

猜你喜欢  

【安全圈】英特尔遭黑客攻击！20GB绝密芯片工程数据遭窃

【安全圈】谷歌因泄露5250万用户信息遭集体诉讼

【安全圈】路由器，交换机和AnyConnect VPN中的高度严重漏洞

【安全圈】美国禁止使用中国 App、BAT 云服务、电信运营商互联互通等

【安全圈】佳能服务器受到黑客攻击

【安全圈】信息泄漏的网络世界中怎么保护自己

【安全圈】推特史诗级漏洞！奥巴马盖茨马斯克账号全被黑，齐发诈骗消息

【安全圈】广东足协数据库被入侵，积分数据被恶意篡改！

【安全圈】Windows DNS服务器曝重大安全漏洞：可能形成蠕虫攻击
【安全圈】Weblogic 多个远程代码执行漏洞

【安全圈】GitHub崩了数小时，程序员强制下班，微软回复：机房服务器被小偷抱走了

【安全圈】0.5元一份！谁在出卖我们的人脸信息？

【安全圈】我是如何在4小时之内发现unc0ver越狱利用的0-day漏洞

高通400多个芯片存在漏洞，威胁数百万部Android手机
高通400多个芯片存在漏洞，威胁数百万部Android手机
你点的每个赞，我都认真当成了喜欢

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2020年8月9日18:14:52
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   高通400多个芯片存在漏洞，威胁数百万部Android手机https://cn-sec.com/archives/84637.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息