谷歌安卓 RCE 漏洞可导致攻击者完全访问设备

在前几日发布的安全公告称，该漏洞(CVE-2020-0103)是影响Android操作系统39个漏洞之一，这些漏洞使用较旧的安全配置文件，散布在该公司最新安全补丁中修复的Android各个组件中。

该公司表示，这些漏洞对消费者、企业和政府机构用户构成了很高的风险。然而，根据谷歌的说法，在android的系统组件中发现的这些最关键的功能可以允许远程代码执行(RCE)，这取决于设备上现有的特权。

该公司在公告中写道：“这些问题中最严重的是系统组件中的一个关键安全漏洞，它可能使远程攻击者能够使用专门设计的传输在特权进程的上下文中执行任意代码。”

然而，根据互联网安全中心(CIS)对该漏洞的建议，潜在的利用取决于应用程序的特权状态。

据《华盛顿邮报》报道，“如果这个应用程序被配置为对系统拥有更少的用户权限，那么利用这些最严重的漏洞所造成的影响就会比配置了管理权限所造成的影响要小。”

CIS在其帖子中解释说，在处理媒体文件时，这些漏洞可以通过电子邮件、网页浏览和多媒体服务(MMS)等多种方法加以利用。

根据与应用程序相关的权限，攻击者可以安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新账户。”然而据CIS称，到目前为止的更新中修补的漏洞还没有在被利用。

这个关键的漏洞是谷歌为Android系统组件修补的8个漏洞之一。其余的缺陷被评为高度严重，只有一个被评为中度。

另外谷歌还修补了Android框架组件CVE-2020-0096的一个关键缺陷，该缺陷可能使本地攻击者能够在特权进程的上下文中执行任意代码，该公司说。该漏洞是该组件中修补的三个漏洞之一，其他两个的严重级别很高。

唯一的其他关键漏洞补丁是一个关键的安全漏洞，CVE-2020-3641，发现在高通的闭源组件。该缺陷是这些组件中修补的10个缺陷之一，其余的被评为高严重程度。

事实上，谷歌一直以来都在Play store里面Android应用程序所传播的恶意软件，在过去一年半的时间里做出了许多的努力，试图保持对恶意软件的控制。

不过，平台上的恶意软件依然存在。就在上周，研究人员发现了一种名为EventBot的新型安卓手机恶意软件，它可以窃取贝宝(PayPal)、巴克莱(Barclays)、CapitalOne等热门金融应用用户的支付数据。