聯發科晶片出現惡性漏洞,中低階手機受創最重

作者 | 發布日期 2020 年 03 月 05 日 8:26 | 分類 Google , 晶片 , 資訊安全 Telegram share ! follow us in feedly


Google 本週發表的最新 Android 安全公告中,大篇幅地針對一個名為 CVE-2020-0069 漏洞提出警告,這是一個存在於聯發科晶片中的安全漏洞,可允許駭客直接取得裝置的根權限,且存在於近 20 款聯發科產品。

「CVE-2020-0069」可以讓惡意程式不需通過 Bootloader 就能獲得根權限,這個 rootkit 名為 MediaTek-SU,也就是超級用戶,能獲得近乎完整的功能權限,且可直接在後台執行,在用戶完全沒有察覺下直接控制手機,是相當嚴重的漏洞。

目前最受影響的是以下幾款聯發科產品 MT6755、MT6757、MT6758、MT6761、MT6762、MT6763、MT6765、MT6771、MT6779、MT6795、MT6797、MT6799、MT8163、MT8167、MT8173、MT8176、MT8183、MT6580、MT6595 等。包括三星、LG、華為、OPPO、vivo 等品牌都受波及。

事實上此漏洞在去年 2 月就被發現,但可能已存在多年,早被許多網路犯罪者積極利用,為此聯發科才尋求與 Google 合作,希望盡快透過軟體更新來解決問題。當時一位工程師在改機時找到此問題,且驚訝的發現幾乎所有聯發科 64 位元晶片的手機都有這個漏洞。尤其是許多使用聯發科晶片的都是低階手機,少有更新及關注,即便聯發科在去年 5 月即發送給客戶補丁,但大部分機種至今仍未被修復。

這個漏洞相當惡性,且預期有數百萬支手機仍受影響,所以 Google 也呼籲用戶盡快進行 Android 更新。值得注意的是,這次的公告中來自於高通晶片的錯誤也多達 48 個,包括緩衝區溢出及 WLAN 硬體遠程遙控漏洞等,也都是相當嚴重的問題,使用者應盡速更新。

(首圖來源:shutterstock)

延伸閱讀: