Google修補安卓兩個零時差漏洞

  11月初Google 發布本月份安卓作業系統的例行更新，當中總共修補51個漏洞，值得留意的是 其中2個漏洞疑似已出現局部針對的漏洞利用情形，這些漏洞分別為CVE-2024-43047、CVE-2024-43093，google 列為高風險層級。   CVE-2024-43047 是Android 核心，原始碼的手機核心中釋放後的使用漏洞，藉助此漏洞攻擊者可以提升操作權限，漏洞在10月被接露，認為是內部數位訊號處理器(DSP)的漏洞，為記憶體釋放後在進行濫用的弱點，CVSS風險評為7.8。   CVE-2024-43093也同樣是危害程度非常高的權限提升漏洞，影響12~15版Android作業系統，特別的是該漏洞不僅初在作業系統框架元件也存在Google Play 系統更新模組當中的Documents UI 元件中。但Google並未透露這次駭客攻擊的具體細節，不過CVE-2024-43047 漏洞的發現者認為該漏洞有可能是被間諜軟體利用，用來針對特定用戶發動間諜行動。   剩餘的49 個漏洞只有CVE-2024-38408 被評為是嚴重漏洞，該漏洞也來自高通閉源的元件，其他漏洞均為中危險或低危險漏洞，但目前沒有證據顯示這些漏洞也遭到駭客利用。   具體的影響會根據漏洞的性質和攻擊者的目的而有所不同，但一般來說，零時差漏洞可能被用於： 遠端程式碼執行： 攻擊者可以遠端控制你的設備，執行任意程式碼，竊取你的數據、安裝惡意軟體等。 權限提升： 攻擊者可以獲得更高的系統權限，繞過系統的安全限制，進行更深入的攻擊。 拒絕服務攻擊： 攻擊者可以使你的設備無法正常運行，造成服務中斷。 開啟雙重驗證： 為你的Google帳戶開啟雙重驗證，增加帳戶的安全性。   儘管Google不斷努力修補漏洞，但零時差漏洞仍是資安領域的一大挑戰。未來，隨著物聯網、人工智慧等新興技術的發展，資安威脅將更加複雜。因此需要更強大的資安防護機制，以及更具前瞻性的安全策略，才能應對未來的挑戰。   參考資料: https://www.ithome.com.tw/news/165888 https://www.cnbeta.com.tw/articles/tech/1453030.htm