谷歌警示三星：修改 Android 内核代码行为会暴露更多漏洞
Google Project Zero (GPZ)团队近日向三星发出警告，表示后者在Galaxy系列手机中修改内核代码的行为将会暴露更多的安全BUG。GPZ研究员Jann Horn表示，以三星为代表的多家智能手机厂商通过添加下游自定义驱动的方式，直接硬件访问Android的Linux内核会创建更多的漏洞，导致现存于Linux内核的多项安全功能失效。
Horn表示这个问题是在三星Galaxy A50的Android内核中发现的。不过他表示，这种情况在Android手机厂商中非常普遍。也就是说，这些厂商向Linux Kernel中添加未经上游（upstream）内核开发者审核的下游（downstream）代码，增加了与内存损坏有关的安全性错误。
即使这些下游定制旨在增加设备的安全性，它们也会引入安全性错误。谷歌于2019年11月向三星报告了该漏洞，随后在今年2月面向Galaxy系列手机的更新中修复了这个问题。
该错误影响了三星的PROCA（过程验证器）安全子系统。三星在其安全网站上将漏洞SVE-2019-16132描述为中等问题。它允许在运行Android 9和Android 10操作系统的某些Galaxy智能手机上“可能执行任意代码”。
Horn解释说：“Android通过锁定可以访问设备驱动程序的进程（通常是特定于供应商的）来减少此类代码对安全性的影响。”一个例子是，较新的Android手机通过专用的帮助程序来访问硬件，这些帮助程序在Android中统称为硬件抽象层（HAL）。
不过Horn表示，手机厂商通过修改Linux Kernel核心部分的工作方式，这破坏了“锁定攻击面”上做出的努力。Horn建议智能手机制造商使用Linux中已经存在的直接硬件访问功能，而不是更改内核代码。例如，PROCA旨在阻止已获得对内核的读写访问权限的攻击者，但三星需要花费工程时间来阻止攻击者首先获得该访问权限。
（稿源：cnBeta，封面源自 *** 。）
“谷歌警示三星：修改 Android 内核代码行为会暴露更多漏洞” 的相关文章
黑客称入侵了微软：拿到 Bing 和 Cortana 项目源代码
近日，据Reddit上的帖子和Cyber Kendra上的一份报告显示，LAPSUS$ (Lapsus) 组织入侵了微软的DevOps帐户，该组织此前入侵了NVIDIA和三星。 下面的截图由Lapsus发布，但很快被删除，由Cyber Kendra保存了下来。该组织声称可以访问微软的一些DevOps...
Adafruit 披露了前员工 GitHub 储存库中的数据泄露
Hackernews 编译，转载请注明出处： Adafruit 披露了一个数据泄露事件，这个事件是由于一个可公开查看的 GitHub 存储库引起的。 该公司怀疑这可能允许攻击者对2019年或之前对某些用户的信息进行“未经授权的访问”。 Adafruit 总部位于纽约市，自2005年以来一直是开源硬...
谷歌解释野外攻击为何增加 浏览器安全形势在稳中向好
上周，Chrome Security 团队的 Adrian Taylor，在一篇谷歌安全博客文章中解释了“为何在野外被利用的 CVE 漏洞似乎有所增加”。对于这种漏洞利用的可见性增长趋势，归咎于多个方面的因素。而谷歌旗下的 Project Zero 团队，也有对包括 WebKit、IE、Flash、...
加密货币使勒索软件的使用变得更加普遍
眼下，勒索软件已经成为互联网上的一种趋势，它的目标包括企业、政府机构、医院和学校。这是一个几十年前就存在的问题，但在过去几年中变得非常普遍。最初，黑客以个人为目标，要求提供几百美元的比特币，但现在他们追求更大的目标，他们可以勒索更大的金额，并且被勒索放在没有电脑和服务器的情况下无法继续正常使用 密...
卡巴斯基调查：30% 的人认为使用跟踪软件来监视伴侣是正常的
据Techspot报道，根据卡巴斯基的一项调查，30%的人认为使用跟踪软件来监视他们的伴侣是正常的。跟踪软件是一类允许一个人监视另一个人的软件，通常是在目标的移动设备上安装该软件，而他们并不知情。这类应用程序通常伪装成家长控制应用程序或防盗解决方案，可以监控互联网活动，跟踪用户的行踪，录制音频和视频...
Chrome 新增 Privacy Guide：帮用户理解和实施安全设置
适用于桌面 PC 和笔记本的 Chrome 稳定版将新增“Privacy Guide”功能，它将帮助该网络浏览器的用户理解和实施隐私、安全和在线安全设置。虽然 Chrome 浏览器一直有大部分的这些设置，但现在 Google 声称隐私和安全控制应该更容易理解。 图片链接：https://static...
评论列表
发表评论
