首页
社区
课程
招聘
Google发布更新修复Linux内核漏洞
发表于: 2016-3-25 18:31 2515

Google发布更新修复Linux内核漏洞

2016-3-25 18:31
2515
新闻链接:http://www.seehand.com/community/1454.html
新闻时间:2016-03-25
新闻正文:
Google公司发布了一项Android漏洞的紧急补丁。另一不相关的Stagefright漏洞也引起了担忧。

面对截止至3月份的众多Android安全挑战,Google公司发布了史无前例的月中紧急补丁更新。然而,该紧急补丁与最近报道的新Stagefright漏洞无关,但与Google公司原计划修复的著名Linux内核漏洞相关。

Android安全报告2016-03-18是针对标识号为CVE-2015-1805的特权提升漏洞的计划外更新。如CVE号码所显示的,该漏洞可追溯至2015年,它当时最先发现于上游的Linux内核。尽管Google公司在3月18日前未针对该问题发布过正式补丁,Google公司的应用验证(Verify Apps)技术已经可以识别并拦截试图利用该漏洞的应用。Verify Apps是Google公司对从Google Play市场和第三方源安装的应用均适用的技术,它是一种寻找恶意组件的扫描技术。

Google公司曾在其安全报告中提到,CVE-2015-1805漏洞将包含于将来Android更新的正式补丁之中。但该计划在3月15日发生了改变,安全公司Zimperium获报道称其获知,CVE-2015-1805在一部Nexus 5设备上被成功利用。

“Google公司已确认存在公开可获取的root应用,会在Nexus 5和Nexus 6上滥用该漏洞,为设备用户提供root特权,”Google公司在其报告中警告道,“该问题被列为极为严重的漏洞,因为存在提升本地特权和执行恶意代码的可能性,或可导致本地永久的设备危害。”

本次计划外的更新紧随Android在3月7日提供的Android 3月份计划更新之后。在计划内的3月份更新中,特别有趣的是,Google公司还更新了几个Android中的Linux内核漏洞,而这些漏洞在上游的Linux内核项目中已经修复。当时,Bluebox安全公司的负责安全分析员Andrew Blaich曾预言并警告,可能存在许多其他来自上游Linux内核尚未集成进Android的补丁,它们即使不会更坏,但可能也会具有与3月计划内更新修复的那几个漏洞相同的后果。

还值得注意的是,3月7日的计划内更新中,Google公司修复了标识为CVE-2016-0824的Stagefright媒体库中的高严重度漏洞。Google公司自2015年8月份当Zimperium zLabs的平台研究与利用副总裁Joshua Drake首次披露Stagefright漏洞起,多次修复了libstagefright(Stagefright)和Android媒体库。

巧合的是,Zimperium也是首个向Google公司汇报CVE-2015-1805漏洞的公司,该漏洞是上述新计划外的更新的焦点,目前正在被攻击利用。

在一项不相关的研究中,安全公司NorthBit在3月18日报道称,它称为Metaphor的Stagefright漏洞正在攻击Android。Metaphor攻击利用标识为CVE-2015-3864的漏洞,Google公司已在2015年8月对其进行修复。甚至在CVE-2015-3864首次被公开披露时,Google公司就未重视过其潜在的影响。

“现在,90%以上的Android设备启用了一项名为地址空间布局随机化的技术(ASLR),它能在该问题上保护用户。”Google公司在当时的一篇声明中表示。

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (0)
游客
登录 | 注册 方可回帖
返回
//