據(jù)安全研究人員稱，一個(gè)新的高通芯片漏洞可能會影響全球 30% 的 Android 手機(jī)。
5G 調(diào)制解調(diào)器數(shù)據(jù)服務(wù)中的一個(gè)漏洞可能允許移動黑客通過向手機(jī)的調(diào)制解調(diào)器注入惡意代碼來遠(yuǎn)程攻擊安卓用戶，獲得執(zhí)行代碼的能力，訪問移動用戶的通話記錄和短信，并竊聽電話。
Check Point 研究公司稱，該漏洞（CVE-2020-11292）存在于高通公司的移動站調(diào)制解調(diào)器（MSM）接口中，該接口被稱為 QMI。MSM 是高通公司設(shè)計(jì)的片上系統(tǒng)（SoC），QMI 是一個(gè)專有協(xié)議，用于調(diào)制解調(diào)器中的軟件組件和其他外圍子系統(tǒng)之間的通信。
該漏洞的影響可能是深遠(yuǎn)的：MSM 自移動互聯(lián)網(wǎng)前 2G 時(shí)代的移動設(shè)備開始使用，根據(jù) Check Point 的數(shù)據(jù)，QMI 在全球大約 30% 的手機(jī)中使用，包括谷歌 Pixel、LG 手機(jī)、一加手機(jī)、三星的旗艦 Galaxy 系列和小米手機(jī)。
Check Point 發(fā)言人告訴外媒 Threatpost，從本質(zhì)上講，攻擊者可以利用這個(gè)漏洞，通過惡意的或木馬化的安卓應(yīng)用程序，遠(yuǎn)程攻擊移動設(shè)備。他說：“假設(shè)一個(gè)惡意應(yīng)用程序在手機(jī)上運(yùn)行，它可以利用這個(gè)漏洞將自己‘隱藏’在調(diào)制解調(diào)器芯片中，使其在目前手機(jī)上的所有安全措施中不可見。”
該發(fā)言人說，Check Point 決定不分享該漏洞的所有技術(shù)細(xì)節(jié)，以免給黑客提供一個(gè)關(guān)于如何策劃利用的路線圖。然而，他指出：“基本上，我們試圖從手機(jī)本身，而不是從運(yùn)營商方面‘攻擊’芯片。我們在那里發(fā)現(xiàn)了一些有趣的漏洞，導(dǎo)致遠(yuǎn)程代碼執(zhí)行”。
好在，高通公司已經(jīng)發(fā)布了一個(gè)修復(fù)方案，但是補(bǔ)丁的推出速度會很慢。
“高通公司說它已經(jīng)通知了所有的安卓供應(yīng)商，我們自己也和其中一些供應(yīng)商談過，”該發(fā)言人告訴 Threatpost，“我們不知道誰打了補(bǔ)丁或沒有。根據(jù)我們的經(jīng)驗(yàn)，這些修復(fù)措施的實(shí)施需要時(shí)間，因此許多手機(jī)可能仍然容易受到威脅”。
IT之家了解到，高通公司的芯片以前就有缺陷。例如，Check Point 在去年的 DEF CON 上披露了高通公司驍龍移動芯片組的六個(gè)嚴(yán)重缺陷，它們影響了 40% 正在使用的安卓手機(jī)，并使手機(jī)受到拒絕服務(wù)和權(quán)限升級的攻擊。
- 蜜度索驥：以跨模態(tài)檢索技術(shù)助力“企宣”向上生長
- Dell'Oro預(yù)測：大規(guī)模AI集群推動相干光收發(fā)器出貨量進(jìn)一步增長
- Juniper：2025年RCS商業(yè)消息流量將增長50%
- 以網(wǎng)興智、以智賦網(wǎng)：從MBBF 2024看如何筑牢移動AI時(shí)代底座
- IDC：上半年中國專屬云服務(wù)市場穩(wěn)步增長 三大運(yùn)營商包攬前三
- 中國電信SD-WAN PON融合網(wǎng)關(guān)第二次集采：網(wǎng)經(jīng)、瑞斯康達(dá)兩家入圍
- 對話康寧John McGirr：開放合作引領(lǐng)光纖創(chuàng)新，中國仍是重要戰(zhàn)略市場
- 中國空天信息和衛(wèi)星互聯(lián)網(wǎng)創(chuàng)新聯(lián)盟成立
- 5G賦能 移起向新：中國移動助力吉林高質(zhì)量發(fā)展紀(jì)實(shí)
- Omdia分析師王珅：微電網(wǎng)將成為智算中心新選擇
- 美國半導(dǎo)體設(shè)備公司正尋求中國零部件替代品
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進(jìn)一步核實(shí)，并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。
