谷歌警告：安卓再现高危漏洞 华为小米等可能被

小提示：您能找到这篇{谷歌警告：安卓再现高危漏洞 华为小米等可能被}绝对不是偶然，我们能帮您找到潜在客户，解决您的困扰。如果您对本页介绍的谷歌警告：安卓再现高危漏洞 华为小米等可能被内容感兴趣，有相关需求意向欢迎拨打我们的服务热线，或留言咨询，我们将第一时间联系您！

谷歌“零号项目”（Project Zero）研究小组的成员在当地时间周四晚间说，攻击者正在利用谷歌的Android 移动操作系统中的“零日漏洞”（zero-day vulnerability）进行攻击，该漏洞可以使他们完全控制至少 18 种不同型号的手机，连谷歌自家的 Pixel 系列手机也在劫难逃。

“零号项目”成员 Maddie Stone 在帖子中说：有证据表明，该漏洞正在被以色列间谍软件交易商 NSO 集团或其客户之一积极利用。但是，NSO 代表表示，“漏洞与 NSO 无关。”

该漏洞只需要很少或根本不需要定制即可完全获得被攻击手机的 root 权限。

此漏洞可通过两种方式电视广告要多少钱进行攻击：

当目标安装不受信任的应用程序时，通过将此漏洞与针对 chrome 浏览器用于呈现内容的代码中的漏洞的第二次攻击结合使用，来进行在线攻击。

“该漏洞是一个本地特权升级漏洞，它可以对易受攻击的设备进行全面攻击。” Stone 写道：“如果此漏洞是通过Web传递的，则只需与呈现程序漏洞配对，因为此漏洞可通过沙盒访问。”

受影响的手机型号包括但不限于：Pixel 1、Pixel 1 XL、Pixel 2、Pixel 2 XL、华为 P20、小米红米 5A、小米红米 Note 5、小米A1、Oppo A3、摩托罗拉 Z3、Oreo LG、三星 S7、三星 S8、三星 S9

这次漏洞有多严重？

谷歌 Android 团队的一位成员表示，无论如何，该漏洞都将在十月份的 Android 安全更新中（至少在Pixel设备中）进行修补，该更新可能会在未来几天内发布。其他设备的补丁时间目前尚不清楚。Pixel 3 和网站建设高端品牌 Pixel 3a 设备不受影响。

“此问题在 Android 设备上非常严重，它本身需要安装恶意应用程序以进行潜在攻击，”另一位“零号项目”成员 Tim Willis 援引 Android 团队成员的话写道。“任何其他媒介，例如通过网络浏览器，都需要使用额外的漏洞进行链接。”

Google 代表在一封电子邮件中写道：“ Pixel 3 和 3a 设备不容易受到此问题的影响，Pixel 1 和 2 设备将受到十月安全版本的保护，该版本将在未来几天内交付。此外，已经为合作伙伴提供了一个补丁，以确保保护 Android 生态系统不受此问题的影响。”

use-after-free 漏洞最初出现在Linux内核中，并于 2018 年初在 4.14 版中进行了修补。这个修复被合并到 Android 内核的 3.18、4.4 和 4.9 版本中。由于帖子中未解释的原因，这些补丁从未进入 Android 安全更新。这就可以解释为什么早期的 Pixel 机型容易受到攻击，而后来的机型却没有受到攻击。该漏洞现在被跟踪为 CVE-2019-2215。

NSO 到底是做什么的？

斯通说，从谷歌威胁分析小组获得的信息表明，该漏洞“被 NSO 集团使用或出售”，NSO集团是一家开发漏洞和间谍软件的公司，它与各个政府实体进行交易。

NSO 代表在该帖子发布八小时后发送的一封电子邮件中写道：

“ NSO 不会出售，也绝不会出售漏洞利用程序或漏洞。此漏洞与 NSO 无关。我们的工作重点是开发旨在帮助获得许可的情报和执法机构挽救生命的产品。”

总部位于以色列的 NSO 在 2016 年和 2017 年发现了一款名为 Pegasus 的先进移动间谍软件，引起了广泛关注。

它可以越狱或获得 iOS 和 Android 设备的 root 权限，这样就可以在私人信息中搜索，激活麦克风和摄像头，并收集各种其他敏感信息。来自多伦多大学公民实验室的研究人员确定，iOS 版本的 Pegasus 针对的是阿拉伯联合酋长国的政治异见人士。

今年早些时候，Citizen Lab 发现了证据，揭露了 NSO 针对 WhatsApp Messenger 开发的高级漏洞，通过该漏洞还在易受攻击的手机上安装了间谍软件，而终端用户无需做任何操作。一项针对 Citizen Lab 研究人员的秘密调查也将重点放在了 NSO 上。

“作为 NSO 的客户，我担心 NSO 的名声引起了安全团队和研究人员的严格审查，这可能导致我最敏感的间谍活动遭到破坏并暴露出来，” Citizen Lab 高级研究员 John Scott-Railton 告诉 危机公关文案范文Ars。

“零号项目”允许开发者在发布漏洞报告前发布 90 天的补丁，但漏洞被积极利用情况除外。在这种情况下，Android 漏洞是在私下向 Android 团队报告的 7 天后发布的。

尽管周四报告的漏洞很严重，但易受攻击的 Android 用户不应惊慌。被“零号项目”描述的那样昂贵和针对性的攻击所利用的机会非常渺茫。

在此提醒大家，在补丁未安装前，最好不要安装不必要的应用程序，也不要使用非 Chrome 浏览器。