谷歌修复遭取证公司利用的两个 Pixel 0day漏洞

 聚焦源代码安全，网罗国内外最新资讯！

作者：Pierluigi Paganini

编译：代码卫士

谷歌修复了遭取证公司利用的两个 0day 漏洞。它们在没有PIN的情况下解锁手机并获得手机数据的访问权限。

尽管Pixel 手机运行安卓系统，不过会从对所有安卓设备OEM发送的月度补丁中获得安全更新。这是因为谷歌直接控制它们的唯一硬件平台、唯一特性和能力。

虽然安卓4月安全公告中并不包含任何严重问题，但 Pixel 设备的安全公告披露了对两个0day漏洞的利用，它们是CVE-2024-29745和CVE-2024-29748。

谷歌提醒称，“有线索表明这两个漏洞可能已遭有限的针对性利用。”CVE-2024-29745是位于 Pixel 引导程序中的高危信息泄露漏洞，CVE-2024-29748是位于 Pixel 固件中的高危提权漏洞。

从事隐私增强和安全的安卓分发平台 GrapheneOS称已发现取证公司正在活跃利用这些漏洞。这两个漏洞可导致企业解锁和访问具有物理访问权限的谷歌 Pixel 设备上的内存。

几个月前，GrapheneOS发现并报送了这些漏洞，公开分享了一些信息，不过并未透露细节，避免在补丁发布前引发大规模的利用。GrapheneOS 平台指出，“CVE-2024-29745是位于用于支持解锁/删除/锁定 fastboot 固件中的漏洞。取证企业在Pixel和其它设备上将处于‘首次解锁后’状态的设备重启为 fastboot 模式，利用其中的漏洞并转储内存。”

谷歌清空了启动fastboot模式时的内存，完成后仅启用 USB 连接，从而使攻击不可行。GrapheneOS 提到，CVE-2024-29748可导致本地攻击者避开由使用设备管理API的应用所发起的出厂重置，导致此类重置不安全。GrapheneOS 表示，谷歌对该漏洞的修复不完整，可能是不正确的，通过切断电源的方式仍然可能阻止刷新。目前该平台正在着手准备更加健壮的强制性 PIN/密码实现以及无需重启的更安全的 “紧急擦除” 操作。

2024年4月的Pixel安全更新修复了24个漏洞，包括严重的提权漏洞CVE-2024-29740。用户可导航至设置＞安全和隐私＞系统和更新＞安全更新，并点击“安装”。完成更新需重启设备。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

谷歌修复 Pwn2Own 2024大赛发现的两个 Chrome 0day

谷歌修复2024年首个已遭利用的 Chrome 0day 漏洞

谷歌紧急修复今年第8个已遭利用的 Chrome 0day

谷歌紧急修复2023年的第六个 0day

谷歌紧急修复已遭活跃利用的新 0day

原文链接

https://www.bleepingcomputer.com/news/security/google-fixes-two-pixel-zero-day-flaws-exploited-by-forensics-firms/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~