Google：三星手機零日漏洞  被商業監控供應商利用

根據《Tech Crunch》的報導，Google表示，有證據顯示一家商業監控供應商正在利用三星新款智慧型手機中發現的三個「零日安全漏洞」。透過這些零日安全漏洞，供應商可以取得用戶手機內部資料。

作為攻擊鏈的一部分，這些漏洞是在三星的內建軟體中發現的，並被拿來攻擊運行安卓系統的三星手機。這些「鏈式漏洞」允許攻擊者以「超級使用者」用戶身份，也就是「管理員」，獲得內部讀寫權限，並最終得以取得設備上的數據。

Google的零日項目安全研究員 Maddie Stone 表示，此漏洞利用鏈針對的是三星手機，該手機配備了運行特定版本核心的 Exynos 晶片。三星主要在歐洲、中東和非洲銷售帶有 Exynos 晶片的手機，因此這些地區很可能是監控目標所在的地方。Stone表示，目前受影響的三星手機包括 S10、A50 和 A51。根據報導，在修補以前，這些漏洞已被惡意安卓應用程式利用於取得手機內部數據。

Google拒絕透露商業監控供應商的名字。在 2020 年底，Google向三星報告了這三個漏洞，三星在 2021 年 3 月為受影響的手機推出了補丁，但當時沒有透露這些漏洞正在被積極利用。Stone表示，繼蘋果和Google之後，三星也已承諾會在漏洞被積極利用時在其安全更新中公開。

Stone 補充說，對該漏洞鏈的分析提供了，關於攻擊者如何針對安卓設備進行攻擊的新資訊，並表示，若是進行進一步的研究，可能可以發現更多三星等安卓設備製造商的內建軟體中的新漏洞，而這也讓我們知道，有對製造商特定軟體進行更多研究的必要。（編譯 / 莊閔棻）

參考資料： Tech Crunch

瀏覽 549 次