IT之家11月29日消息，谷歌的ProjectZero团队的终极目标是消除世界上所有的零日漏洞，而鉴于近期爆发的ARMGPU漏洞，该团队在最新博文中谴责了安卓厂商的偷懒行为，甚至于谷歌自家的Pixel也在抨击范围内。在博文中，ProjectZero团队表示安卓厂商并没有迅速采取行动，以修复ARMGPU驱动漏洞。
ProjectZero团队成员麦迪・斯通（MaddieStone）于今年6月在Pixel6手机中发现了一个漏洞，这个存在于ARMGPU驱动中的漏洞可以让非特权用户获得对只读存储器的写入权限。
该团队的另一名成员詹恩・霍恩（JannHorn）在三周后发现，在ARMGPU驱动中还存在其它一些相关的漏洞。这些漏洞可能允许“在应用程序中执行原生代码的攻击者[获得]对系统的完全访问，绕过安卓的权限模型，并允许广泛访问用户数据”。
ProjectZero团队表示在2022年6-7月向ARM报告了这些问题。ARM在7-8月期间修复了这些问题，发布了安全公告（CVE-2022-36449）并公布了修复的源代码。
但对消费者来说，依然没有修复这些漏洞。这主要的原因是包括谷歌自身在内的各种安卓OEM厂商。ProjectZero团队表示，在ARM修复了这些漏洞几个月后，我们所有使用Mali的测试设备仍然容易受到这些问题的影响。CVE-2022-36449在任何下游安全公告中都没有提到。。
IT之家了解到，受影响的ARMGPU设备列表很长，涉及过去三代的ARMGPU架构（Midgard、Bifrost和Valhall），范围从目前出货的设备到2016年的手机。高通芯片没有使用ARM的GPU，但谷歌的TensorSoC在Pixel6、6a和7中使用了ARMGPU，而三星的ExynosSoC在其中端手机和GalaxyS21（只是没有GalaxyS22）等旧的国际旗舰中使用了ARMGPU。联发科的SoC也都是ARMGPU用户，所以我们说的是几乎每家安卓OEM厂商的数百万部易受攻击的安卓手机。
“掌”握科技鲜闻 （微信搜索techsina或扫描左侧二维码关注）
