鑽石舞台

日前，谷歌Project Zero報告披露了三個三星手機漏洞，分別為CVE-2021-25337、CVE-2021-25369和CVE-2021-25370，目前已被一家監控公司利用。

這三個漏洞具體表現為：

而這家監控供應商正是將上述的三個漏洞鏈接起來，以危害三星手機。

目前TAG團隊只獲得了三星手機可能處於測試階段的部分漏洞鏈，研究人員指出，這家監控公司在其間諜軟件中包含了對這三個漏洞的攻擊，這些漏洞在被攻擊時為零日漏洞。研究人員稱：「這條攻擊鏈是一個很好的例子，值得進一步分析。它與我們過去看到的許多Android攻擊相比，具有不同的攻擊面和「形狀」。此鏈中的所有3個漏洞都在製造商的定製組件中，而不是AOSP平台或Linux內核中。值得注意的是，3個漏洞中有2個是邏輯和設計漏洞，而不是內存安全。」

專家們進一步解釋說，該漏洞樣本針對的是運行內核為4.14.113和Exynos SOC的三星手機。這種特定的SOC常被於歐洲和非洲銷售的手機使用。該漏洞依賴於針對Exynos三星手機的馬里GPU驅動程序和DPU驅動程序。據悉，該樣本可以追溯到2020年底，而在2020年底運行4.14.113內核的三星手機為S10、A50和A51。

在2020年底發現這些漏洞後，谷歌立即向三星報告了這些漏洞，該供應商也於2021年3月份解決了這些漏洞。谷歌沒有透露監控供應商的名字，只是強調了與其他針對Android用戶的活動的相似之處。

Project Zero指出，三星發布的關於這些問題的建議沒有提到它們在野外的開發。報告總結道：「當已知漏洞在野外被利用時，標記對目標用戶和安全行業都很重要。當在野零日漏洞未被透明披露時，我們無法使用該信息進一步保護用戶，只能使用補丁分析和變體分析來了解攻擊者已經了解的情況。」

經歷了此次事件之後，研究人員說：「對這一漏洞鏈的分析為我們提供了新的見解，它讓我們進一步了解攻擊者是如何針對Android設備展開攻擊的。這也突出了對製造商特定組件進行更多研究的必要性。」