Google揭Qualcomm DSP 驅動程式六大安全漏洞，影響數百萬 Android 裝置

Google 威脅分析小組（TAG）近日揭露 Qualcomm 數位訊號處理器（DSP）驅動程式「adsprpc」中存在六個嚴重安全漏洞，可能影響全球數以百萬計的 Android 裝置。這些漏洞已被確認用於部署間諜軟體，引發嚴重的資安疑慮。

根據 Google 的分析，這些在 adsprpc 驅動程式中發現的漏洞包括參考計數問題（CVE-2024-38402）、指標處理缺陷（CVE-2024-21455）、競爭條件漏洞（CVE-2024-33060）、持久映射處理錯誤（CVE-2024-49848）以及記憶體映射重疊問題（CVE-2024-43047）。此外還有一個尚未分配 CVE 編號的核心位址空間資訊洩露漏洞。

這些漏洞的嚴重性在於它們可能被串連利用，形成完整的攻擊鏈。其中，參考計數問題可導致釋放後使用（Use-After-Free）漏洞，使攻擊者能在核心空間執行任意程式碼。指標處理缺陷則允許使用者控制的指標被視為核心指標，創造任意讀寫漏洞並導致權限提升。競爭條件漏洞在處理全域記憶體映射時特別危險，可能造成核心記憶體損壞。

其中 CVE-2024-43047 已被確認遭到活躍利用，Google Project Zero 團隊在 2024 年 10 月將其標記為零時差漏洞。這個漏洞已於 11 月的 Android 安全更新中獲得修補。然而，CVE-2024-49848 的修補程式遲遲未發布，距離 Google 首次回報已超過 145 天。

Qualcomm 對此回應表示，大部分漏洞的修補程式已於 2024 年 9 月提供給客戶，並強烈建議終端使用者在裝置製造商發布更新時立即套用。該公司也透露，CVE-2024-49848 的修補程式已完成開發，預計將在 2025 年 1 月發布相關安全公告。至於未分配 CVE 編號的漏洞，則已隨 CVE-2024-33060 的修補程式一同在 2024 年 9 月修復。

這些漏洞的發現源於 Amnesty International 安全實驗室。研究人員在分析遭到入侵的 Android 裝置時，發現了可疑的核心錯誤日誌，並將這些資訊提供給 Google TAG 進行深入分析，最終揭露了這些嚴重的系統漏洞。

這些漏洞凸顯了行動裝置供應鏈中關鍵元件的安全性問題。由於 Qualcomm 晶片在 Android 生態系統中扮演重要角色，這類底層驅動程式的漏洞可能帶來廣泛的安全威脅。專家建議使用者應關注裝置製造商發布的安全更新，並及時進行系統更新以確保裝置安全。

本文轉載自bleepingcomputer。