发布时间:2019-10-12 11:40:00,来源:中国信息通信研究院
安卓存在本地特权提升漏洞,CVE编号:CVE-2019-2215。该漏洞实质是内核代码一处UAF漏洞,攻击者利用该漏洞可将本地用户或APP进行权限提升,最终获取受影响设备的root权限,并有可能完全控制用户设备。
二、攻击原理
该漏洞存在于android-msm-wahoo-4.4-pie分支或更多的其它地方,漏洞触发在/drivers/android/binder.c文件中。已公开的在KASAN内核中触发UAF造成崩溃的POC代码如下:
受影响的版本:
安卓9和安卓10预览版 Pixel 2
华为 P20
红米 5A
红米 Note 5
小米 A1
Oppo A3
摩托罗拉 Z3
Oreo LG 系列
三星 S7、S8、S9
目前该漏洞补丁已在Android Common Kernel上提供。预计各厂商将在未来几天内陆续发布更新修补漏洞,请各用户密切关注官方更新信息。
1) https://bugs.chromium.org/p/project-zero/issues/detail?id=1942
2) https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-2215