PNG 文件可劫持安卓设备

谷歌发布月度更新，其中最严重的一个漏洞是，如果遭应用程序查看，恶意构造的 PNG 图像能够执行文件中的代码。因此聊天应用或邮件阅读器打开恶意 .PNG 文件，就能够以高权限开始运行设备上的恶意软件。

安卓处理蓝牙信号的过程也导致两个其它漏洞：恶意构造的传输能够执行设备上的任意代码。谷歌团队表示，“这些问题中最严重的是存在于 Framework 中的一个严重的漏洞，可导致远程攻击者使用特殊构造的 PNG 文件在权限进程上下文内执行任意代码。”谷歌表示尚未收到问题遭利用的报告。

如下是安卓2月份更新中发布的修复方案汇总（现在只有安卓7到9版本接受安全更新）：

Framework 中存在三个远程代码执行漏洞，其中最严重的可遭 PNG 文件利用：CVE-2019-1986 影响安卓9；CVE-2019-1987影响版本 7.0、7.1.1、7.1.2、8.0、8.1和9；CVE-2019-1988影响版本8.0、8.1和9。

Library 中被曝4个缺陷，其中最严重的缺陷导致代码在黑客发送的文件解析时在其中运行：CVE-2017-17760 影响版本 7.0、7.1.1、7.1.2、8.0、8.1和9；CVE-2018-5268影响版本7.0、7.1.1、7.1.2、8.0、8.1和9；CVE-2018-5269影响版本7.0、7.1.1、7.1.2、8.0、8.1和9；CVE-2017-18009影响版本7.0、7.1.1、7.1.2、8.0、8.1和9。

除了 CVE-2017-18009 属于信息泄漏问题外，其余均为远程代码执行漏洞。

System 被曝8个缺陷，其中最严重的涉及蓝牙传输中的远程代码执行漏洞：CVE-2019-1991 影响版本7.0、7.1.1、7.1.2、8.0、8.1 和9；CVE-2019-1992影响版本7.0、7.1.1、7.1.2、8.0、8.1 和9；CVE-2019-1993影响版本 8.0、8.1 和9; CVE-2019-1994 影响版本 8.0、8.1 和9; CVE-2019-1995 影响版本 7.0、7.1.1、7.1.2、8.0、8.1和 9；CVE-2019-1996影响版本 8.0、8.1和 9；CVE-2019-1997影响版本7.0、7.1.1、7.1.2、8.0、8.1 和9；以及CVE-2019-1998 影响版本9。

CVE-2019-1991 和1992均为远程代码执行漏洞；1993和1994属于权限提升漏洞；1995至1997可被用于泄漏敏感信息，而1998是拒绝服务漏洞。

更多漏洞

除此之外，安卓中还存在四个 Linux 内核缺陷（CVE-2018-10879、CVE-2019-1999、CVE-2019-2000、CVE-2019-2001），可导致恶意应用程序获取更高权限并劫持设备。

Nvidia（英伟达）驱动中存在四个 bug （CVE-2018-6271、CVE-2018-6267、CVE-2018-6268、CVE-2016-6684），在最糟糕的场景下，可遭恶意程序控制易受攻击设备。Qualcomm（高通）驱动中也存在19个严重程度从高危到严重不等的漏洞。

如果你的安卓设备打上补丁的日期是2019年2月，那么就是最新版本；否则需要查看更新并进行安装，某些补丁可能已经是可用状态。

批准并传递修复方案取决于设备厂商和移动运营商。某些谷歌设备，主要是 Pixel 和老旧的 Nexus 设备可直接从谷歌获取补丁，在某些情况下，Play 服务也推送补丁。

另外，安卓内置很多防御措施如 ASLR，它或可阻止某些利用尝试。截止目前为止，并不存在针对缺陷的恶意软件或人员。