來源：新智元

怕什么來什么！

幾日前，蘋果最安全的系統(tǒng)macOS被攻擊了幾個月才修復(fù)漏洞；

安卓那邊也不消停：一個新的高通芯片漏洞可能會影響全球 30% 的 Android 手機(jī)。

據(jù)報道，高通公司的5G調(diào)制解調(diào)器存在一個非常嚴(yán)重的缺陷，可以通過Android加以利用，從而可能使成千上萬的用戶面臨風(fēng)險。

制造商和網(wǎng)絡(luò)運(yùn)營商一直在努力推動5G技術(shù)發(fā)展，但現(xiàn)在看來，為用戶啟用該技術(shù)的最關(guān)鍵硬件可能也會使它們面臨風(fēng)險。

黑客使用Android注入惡意代碼，將活動隱藏在調(diào)制解調(diào)器

高通公司的MSM是用于連接2G，3G，4G和5G系統(tǒng)的一系列芯片。

以色列Internet 安全解決方案供應(yīng)商Check Point發(fā)現(xiàn)了高通的Mobile Station Modem（MSM）以及Android通過Qualcomm MSM Interface（QMI）與MSM進(jìn)行通信的能力中的缺陷。

攻擊者可以使用Android本身來注入惡意代碼，而應(yīng)用程序可以使用此漏洞將其活動隱藏在調(diào)制解調(diào)器中，并有效地使其對Android用于檢測惡意活動的安全功能不可見。

一旦攻擊者可以訪問，他們就可以查看用戶的SMS歷史記錄，呼叫歷史記錄，甚至可以收聽實(shí)時對話。黑客還可以利用此漏洞來解鎖設(shè)備的SIM卡。

Check Point 發(fā)言人Ekram Ahmed表示，從本質(zhì)上講，攻擊者可以利用這個漏洞，通過惡意的或木馬化的安卓應(yīng)用程序（APP），遠(yuǎn)程攻擊移動設(shè)備。

他說：「假設(shè)一個惡意應(yīng)用程序在手機(jī)上運(yùn)行，它可以利用這個漏洞將自己‘隱藏’在調(diào)制解調(diào)器芯片中，使其在目前手機(jī)上的所有安全措施中不可見。」

可能影響全球30%的Android手機(jī)

Check Point指出，高通確認(rèn)了此問題，將其定義為高度漏洞，并將其記錄為?CVE-2020-11292。Bleeping Computer指出，高通于2020年12月向供應(yīng)商提供了安全補(bǔ)丁程序，盡管它似乎尚未成為每月的Android安全補(bǔ)丁程序。

該漏洞的影響可能是深遠(yuǎn)的：MSM 自移動互聯(lián)網(wǎng)前 2G 時代的移動設(shè)備開始使用，根據(jù) Check Point 的數(shù)據(jù)，QMI 在全球大約 30% 的手機(jī)中使用，包括谷歌 Pixel、LG 手機(jī)、一加手機(jī)、三星的旗艦 Galaxy 系列和小米手機(jī)。

小tips

以下是一些基于Check Point的建議以確保設(shè)備安全的提示：

好在，高通公司已經(jīng)發(fā)布了一個修復(fù)方案，但是補(bǔ)丁的推出速度會很慢。

Check Point也建議，用戶應(yīng)定時檢查手機(jī)的安全更新，并確保升級至最新版本。至于具體有哪些安卓設(shè)備收到了相關(guān)補(bǔ)丁、設(shè)備已修復(fù)、哪些還未修復(fù)，預(yù)計(jì)在 6 月公布的 安卓安全公告會予以公開。

最后，考慮到許多 Android 智能機(jī)廠商只給手機(jī)提供了 2 年的大版本更新，預(yù)計(jì)許多入門級設(shè)備可能無法快速獲得這一補(bǔ)丁、甚至根本就不再有安全更新。

實(shí)際上，高通公司的芯片以前就有缺陷。

例如，Check Point 在去年的 DEF CON 上披露了高通公司驍龍移動芯片組的六個嚴(yán)重缺陷，它們影響了 40% 正在使用的安卓手機(jī)，并使手機(jī)受到拒絕服務(wù)和權(quán)限升級的攻擊。

參考資料：

https://www.slashgear.com/qualcomm-snapdragon-5g-modem-flaw-puts-android-users-at-risk-06671861/

https://gamersgrade.com/snapdragon-chip-flaw-puts-android-users-in-risk-of-data-theft/

（聲明：本文僅代表作者觀點(diǎn)，不代表新浪網(wǎng)立場。）