2025年2月的安卓安全更新修復(fù)了48個漏洞，其中包括一個已被攻擊者利用的零日內(nèi)核漏洞。這個高危零日漏洞（編號為CVE-2024-53104）存在于安卓內(nèi)核的USB視頻類驅(qū)動程序中，是一個權(quán)限提升漏洞。攻擊者可以通過低復(fù)雜度攻擊，利用該漏洞提升權(quán)限。

漏洞詳情與影響

該漏洞的根源在于驅(qū)動程序在uvc_parse_format函數(shù)中未能正確解析UVC_VS_UNDEFINED類型的幀。這導(dǎo)致幀緩沖區(qū)大小計算錯誤，可能引發(fā)越界寫入問題，進(jìn)而被攻擊者利用來執(zhí)行任意代碼或發(fā)起拒絕服務(wù)攻擊。

除了這個已被利用的零日漏洞外，2025年2月的安卓安全更新還修復(fù)了高通WLAN組件中的一個嚴(yán)重安全漏洞。高通將該漏洞（編號為CVE-2024-45569）描述為WLAN主機(jī)通信中的固件內(nèi)存損壞問題，原因是解析ML IE時由于幀內(nèi)容無效導(dǎo)致的數(shù)組索引驗證不當(dāng)。

攻擊者可以利用CVE-2024-45569遠(yuǎn)程執(zhí)行任意代碼或命令、讀取或修改內(nèi)存，并在無需權(quán)限或用戶交互的情況下觸發(fā)系統(tǒng)崩潰。

安全更新與設(shè)備適配

谷歌為2025年2月發(fā)布了兩組補(bǔ)丁，分別是2025-02-01和2025-02-05安全補(bǔ)丁級別。后者包含了第一批補(bǔ)丁的所有修復(fù)內(nèi)容，并額外修復(fù)了閉源第三方組件和內(nèi)核組件中的漏洞，但這些補(bǔ)丁可能不適用于所有安卓設(shè)備。

廠商可能會優(yōu)先應(yīng)用較早的補(bǔ)丁集以加快更新速度，但這并不一定意味著漏洞被利用的風(fēng)險增加。谷歌Pixel設(shè)備將立即收到更新，而其他制造商通常需要更長時間來測試和調(diào)整針對不同硬件配置的安全補(bǔ)丁。

近期零日漏洞回顧

2024年11月，谷歌修復(fù)了另外兩個被攻擊者利用的安卓零日漏洞（編號為CVE-2024-43047和CVE-2024-43093），這些漏洞也被標(biāo)記為在有限的定向攻擊中被利用。CVE-2024-43047最初由谷歌Project Zero團(tuán)隊在2024年10月標(biāo)記為被積極利用。塞爾維亞政府還利用該漏洞通過NoviSpy間諜軟件攻擊，入侵了活動人士、記者和抗議者的安卓設(shè)備。