5月8日,，據(jù)媒體報道,，三星發(fā)布每月安全更新,，2014年底開始銷售的智能手機存在一個“perfect 10”關(guān)鍵安全漏洞，一經(jīng)利用,，可啟用任意遠程代碼,。
報道稱，三星于2014年年末為所有自家手機加入了對Qmage圖像格式（．qmg）的支持,，而三星的定制安卓系統(tǒng)在處理Qmage上存在漏洞,。
谷歌“零號項目”安全研究員Mateusz Jurczyk發(fā)現(xiàn)了一種利用Skia （安卓圖形庫）處理發(fā)送到設(shè)備的Qmage圖像的方法。
Jurczyk表示,，Qmage錯誤可以在零點擊的情況下利用,，而無需用戶進行操作。通過向三星設(shè)備重復(fù)發(fā)送MMS信息,，每條消息都試圖猜測Skia庫在Android手機內(nèi)存中的位置,，這是繞過安卓的ASLR（地址空間配置隨機加載）保護的必要操作。
攻擊者通常需要100分鐘左右的時間,，發(fā)送50到300條彩信來探測和繞過ASLR,。一旦Skia庫在內(nèi)存中的位置被確定，最后一條彩信就會傳遞出實際的Qmage有效載荷,，然后在設(shè)備上執(zhí)行攻擊者的代碼,。
雖然這種攻擊看起來可能很密集，但也可以在修改后以不提醒用戶的情況下執(zhí)行,。三星在5月的安全更新中對此進行了修復(fù),。
本站內(nèi)容除特別聲明的原創(chuàng)文章之外，轉(zhuǎn)載內(nèi)容只為傳遞更多信息,，并不代表本網(wǎng)站贊同其觀點,。轉(zhuǎn)載的所有的文章、圖片,、音/視頻文件等資料的版權(quán)歸版權(quán)所有權(quán)人所有,。本站采用的非本站原創(chuàng)文章及圖片等內(nèi)容無法一一聯(lián)系確認(rèn)版權(quán)者。如涉及作品內(nèi)容,、版權(quán)和其它問題,，請及時通過電子郵件或電話通知我們，以便迅速采取適當(dāng)措施,，避免給雙方造成不必要的經(jīng)濟損失,。聯(lián)系電話：010-82306118；郵箱：[email protected],。