数百万联发科Android设备存安全漏洞，赶紧打补丁

shuszhao

谷歌今日重申了让 Android智能机保持最新的安全更新的重要性，使用基于联发科芯片方案的设备用户更应提高警惕。在 2020 年 3 月的安全公告中，其指出了一个存在长达一年的 CVE-2020-0069 安全漏洞。XDA-Developers 在本周的一份报告中写到，早在 2019 年 4 月，他们就已经知晓了此事。

3月4日消息，据国外媒体报道，手机开发者论坛XDA-Developers透露，谷歌已修复有关Android设备的一个严重安全漏洞，其涉及数百万台使用联发科芯片组的Android设备。
据悉该漏洞公开已经有数月时间，是一个存在于CPU固件中的后门。XDA-Developers表示，该漏洞使得恶意程序通过简单脚本就可获得使用联发科64位芯片的Android设备访问权限，因此会影响到数百种智能手机、平板电脑和智能机顶盒。
与谷歌在 CVE-2020-0069 中披露的漏洞类似，XDA-Developers 论坛将之称作 MediaTek-SU，后缀表明恶意程序可借此获得超级用户的访问权限。
利用 MediaTek-SU 安全漏洞，恶意程序无需先获得设备的 root 权限（处理 bootloader 引导程序），即可获得几乎完整的功能权限，甚至肆意编辑和修改相关内容。
对恶意软件作者来说，此举无异于打开了 Android 手机上的后门面板，使之可以对用户为所欲为。
从获得放权访问权限的那一刻起，他就能够染指任何数据、输入和传入传出的内容。应用程序甚至可以在后台执行恶意代码，在用户不知情的状况下将命令发送到设备上。
微博用户@手机晶片达人 发文称，该漏洞涉及数款Android设备，三星、华为都中招，该漏洞“可以让 userspace 的程式直接对 kernel memory 存取/写入。基本上就等于随便一个恶意程式都能“完全”操控整个系统，窃取任意使用者资料什么的都是小 case！
此外，他还列出了比较容易受到攻击的联发科处理器：MT6735、MT6737、MT6738、MT6739、MT6750、MT6753、MT6755、MT6757、MT6758、MT6761、MT6762 、MT6763、MT6765、MT6771、MT6779、MT6795、MT6797、MT6799、MT8163、MT8167、MT8173、MT8176、MT8183、MT6580 和 MT6595。
联发科很快发现了该漏洞并发布了修复程序，但遗憾的是，设备制造商并没有太大的动力去向用户推送安全更新。经过一年的时间，仍有许多用户暴露于风险之中。
自2019年5月以来，联发科已经提供修复这一漏洞的补丁，但该公司不能强迫原始设备制造商修复设备。XDA解释说，而谷歌可以通过许可协议和相应条款修复设备。据XDA称，谷歌在发布补丁前几个月就知晓这一漏洞。
好消息是，现在联发科与谷歌达成了更紧密的合作，以期将这一修复整合到 3 月份的 Android 标准安全更新补丁中。在厂商推送 OTA 更新后，还请及时安装部署，以消除这一安全隐患。

小鑫鑫

lqsgg

  

maogege-chen

zengfanlong

  

ask1680

hustfeather

bootloader