Google修補安卓兩個零時差漏洞
11月初Google 發布本月份安卓作業系統的例行更新,當中總共修補51個漏洞,值得留意的是 其中2個漏洞疑似已出現局部針對的漏洞利用情形,這些漏洞分別為CVE-2024-43047、CVE-2024-43093,google 列為高風險層級。
CVE-2024-43047 是Android 核心,原始碼的手機核心中釋放後的使用漏洞,藉助此漏洞攻擊者可以提升操作權限,漏洞在10月被接露,認為是內部數位訊號處理器(DSP)的漏洞,為記憶體釋放後在進行濫用的弱點,CVSS風險評為7.8。
CVE-2024-43093也同樣是危害程度非常高的權限提升漏洞,影響12~15版Android作業系統,特別的是該漏洞不僅初在作業系統框架元件也存在Google Play 系統更新模組當中的Documents UI 元件中。但Google並未透露這次駭客攻擊的具體細節,不過CVE-2024-43047 漏洞的發現者認為該漏洞有可能是被間諜軟體利用,用來針對特定用戶發動間諜行動。
剩餘的49 個漏洞只有CVE-2024-38408 被評為是嚴重漏洞,該漏洞也來自高通閉源的元件,其他漏洞均為中危險或低危險漏洞,但目前沒有證據顯示這些漏洞也遭到駭客利用。
具體的影響會根據漏洞的性質和攻擊者的目的而有所不同,但一般來說,零時差漏洞可能被用於:
遠端程式碼執行: 攻擊者可以遠端控制你的設備,執行任意程式碼,竊取你的數據、安裝惡意軟體等。
權限提升: 攻擊者可以獲得更高的系統權限,繞過系統的安全限制,進行更深入的攻擊。
拒絕服務攻擊: 攻擊者可以使你的設備無法正常運行,造成服務中斷。
開啟雙重驗證: 為你的Google帳戶開啟雙重驗證,增加帳戶的安全性。
儘管Google不斷努力修補漏洞,但零時差漏洞仍是資安領域的一大挑戰。未來,隨著物聯網、人工智慧等新興技術的發展,資安威脅將更加複雜。因此需要更強大的資安防護機制,以及更具前瞻性的安全策略,才能應對未來的挑戰。
參考資料:
https://www.ithome.com.tw/news/165888
https://www.cnbeta.com.tw/articles/tech/1453030.htm