新闻链接：http://www.seehand.com/community/1454.html
新闻时间：2016/03/25 17:33
新闻正文：

Google公司发布了一项Android漏洞的紧急补丁。另一不相关的Stagefright漏洞也引起了担忧。

面对截止至3月份的众多Android安全挑战，Google公司发布了史无前例的月中紧急补丁更新。然而，该紧急补丁与最近报道的新Stagefright漏洞无关，但与Google公司原计划修复的著名Linux内核漏洞相关。

Android安全报告2016-03-18是针对标识号为CVE-2015-1805的特权提升漏洞的计划外更新。如CVE号码所显示的，该漏洞可追溯至2015年，它当时最先发现于上游的Linux内核。尽管Google公司在3月18日前未针对该问题发布过正式补丁，Google公司的应用验证（Verify Apps）技术已经可以识别并拦截试图利用该漏洞的应用。Verify Apps是Google公司对从Google Play市场和第三方源安装的应用均适用的技术，它是一种寻找恶意组件的扫描技术。

Google公司曾在其安全报告中提到，CVE-2015-1805漏洞将包含于将来Android更新的正式补丁之中。但该计划在3月15日发生了改变，安全公司Zimperium获报道称其获知，CVE-2015-1805在一部Nexus 5设备上被成功利用。

“Google公司已确认存在公开可获取的root应用，会在Nexus 5和Nexus 6上滥用该漏洞，为设备用户提供root特权，”Google公司在其报告中警告道，“该问题被列为极为严重的漏洞，因为存在提升本地特权和执行恶意代码的可能性，或可导致本地永久的设备危害。”

本次计划外的更新紧随Android在3月7日提供的Android 3月份计划更新之后。在计划内的3月份更新中，特别有趣的是，Google公司还更新了几个Android中的Linux内核漏洞，而这些漏洞在上游的Linux内核项目中已经修复。当时，Bluebox安全公司的负责安全分析员Andrew Blaich曾预言并警告，可能存在许多其他来自上游Linux内核尚未集成进Android的补丁，它们即使不会更坏，但可能也会具有与3月计划内更新修复的那几个漏洞相同的后果。

还值得注意的是，3月7日的计划内更新中，Google公司修复了标识为CVE-2016-0824的Stagefright媒体库中的高严重度漏洞。Google公司自2015年8月份当Zimperium zLabs的平台研究与利用副总裁Joshua Drake首次披露Stagefright漏洞起，多次修复了libstagefright（Stagefright）和Android媒体库。

巧合的是，Zimperium也是首个向Google公司汇报CVE-2015-1805漏洞的公司，该漏洞是上述新计划外的更新的焦点，目前正在被攻击利用。

在一项不相关的研究中，安全公司NorthBit在3月18日报道称，它称为Metaphor的Stagefright漏洞正在攻击Android。Metaphor攻击利用标识为CVE-2015-3864的漏洞，Google公司已在2015年8月对其进行修复。甚至在CVE-2015-3864首次被公开披露时，Google公司就未重视过其潜在的影响。

“现在，90%以上的Android设备启用了一项名为地址空间布局随机化的技术（ASLR），它能在该问题上保护用户。”Google公司在当时的一篇声明中表示。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)