復旦教授發現 400+ 高危漏洞:谷歌 16 個月後終於修復 | Android 裝置不用“變磚”了

MissD發表於2021-12-31

近日,有媒體報導稱,去年 9 月份,來自復旦大學計算機學院的楊珉教授及同事們發現了 400 多個能讓“市面所有活著的 Android 裝置變磚”的高危漏洞,並通過整理後提交至谷歌方面。

“離譜”的是,當時 google 安全團隊宣稱 2 個月就修復,但實際花了 16 個月。也就是說,這些高危漏洞跟著大家一起“跨”了個年,一直到最近才完全修復。

12 月 29 日,楊珉教授在微博通過賬號 @楊珉_復旦大學 曬出了此前與 Android 安全團隊的郵件,併發文稱自從去年 9 月這些漏洞提交給谷歌修復以來已收到了多次 Delay 通知,同時調侃稱“不知道是不是要給谷歌 Android 安全團隊拉黑了”。

此博文釋出之後,也引起不少熱議。大家紛紛對這 400 多個漏洞表示好奇,究竟是啥漏洞,讓谷歌也“鴿”了一回呢?

據介紹,這 400 多個漏洞是楊珉教授團隊基於 Android 系統資源管理機制的系統性研究發現的,相關研究成果已整理成論文《Exploit the Last Straw That Breaks Android Systems》並被網路安全頂會 IEEE S&P 2022 收錄。


該論文摘要介紹稱,這種與資料儲存過程相關的設計缺陷名為“Straw”,該缺陷可通過 77 個系統服務影響 474 個相關介面,由此生成的 Straw 漏洞可導致各種臨時甚至永久的 DoS 攻擊,讓使用者的 Android 裝置永久崩潰,可帶來嚴重後果,屆時所有使用 Android 程式碼的廠商都將受到該漏洞的影響。

據悉,在楊珉教授團隊發現這些漏洞的時候,就立即將其提交給了谷歌方面,當時谷歌也將其評為“高嚴重級”。本來以為谷歌應該能妥善解決該漏洞了吧,但結果卻一直收到來自谷歌的 Delay 通知,一直拖到了今年年底,這幾天谷歌才終於發來了一封“問題補丁即將公佈”的郵件。

郵件中,谷歌將該漏洞的 CVE ID “命名”為 CVE-2021-0934,但目前 在CVE 官網及 Android 安全最新公告欄上(https://secsys.fudan.edu.cn/0...),都未發現有關 CVE-2021-0934 的詳細資訊。

當然,總之經歷了16個月的修復時間,大家的 Android 裝置不用“變磚”了,這也是個好訊息。

而對於此次谷“鴿”為何花費 1 年多時間才修復該漏洞,在谷歌回覆楊珉教授的郵件中,我們得知“因為必須在不引入相容性問題的前提下,開發出一個解決該問題的修復方案,因此其所需的時間就比預期的要長”,對於這個回答,不知道大家怎麼看?

不管大家怎麼看,但在楊珉教授和同事們看來,他們已經快因為這件事“憋壞了”。在博文中,楊珉教授“吐槽”稱:“在此期間,Google 一直因為難以修復該類漏洞而推遲補丁釋出,反覆招呼我們保密。”

楊教授他們以專業研究者的角度發現問題並對其進行研究,同時嚴謹保密,不然我們也不會現在才知道手裡的 Android 裝置已經從“變磚”的高危後果裡逃出一劫。

所以在這裡,我們不僅要提醒科技巨頭們改掉“拖延症”,同時也要呼籲科技公司善待並鼓勵開發者、白帽黑客(White Hat)們找 Bug,共同加入到維護網路安全的專案中去,一起向廣大的安全研究人員們致敬!

相關文章