搜索

[1221] 2016-11-23_关于多款mtk平台手机广升FOTA服务存在system权限提升漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2016-11-23_关于多款mtk平台手机广升FOTA服务存在system权限提升漏洞的安全公告 关 于 多 款 m t k 平 台 手 机 广 升 F O T A 服 务 存 在 s y s t e m 权 限 提 升 漏 洞 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 6 - 1 1 - 2 3 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 6 - 0 0 5 9 近 期 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 多 款 m t k 平 台 手 机 广 升 F O T A 服 务 存 在 的 s y s t e m 权 限 提 升 漏 洞 （ C N V D - 2 0 1 6 - 1 1 3 4 7 ， 报 送 者 ： 蚂 蚁 金 服 巴 斯 光 年 安 全 实 验 室 曲 和 ） 。 综 合 利 用 该 漏 洞 ， 攻 击 者 可 将 权 限 提 升 至 s y s t e m 权 限 ， 进 而 有 可 能 发 起 植 入 恶 意 软 件 、 以 控 制 或 窃 取 信 息 为 目 的 的 大 规 模 攻 击 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 上 海 广 升 信 息 技 术 股 份 有 限 公 司 （ 简 称 上 海 广 升 公 司 ） 是 终 端 管 理 云 平 台 提 供 商 ， 主 要 为 I o T 设 备 （ 智 能 汽 车 、 穿 戴 、 家 居 、 V R 等 ） 提 供 无 线 升 级 解 决 方 案 。 由 于 使 用 广 升 F O T A 服 务 的 手 机 存 在 某 系 统 内 置 的 a p p ， 该 a p p 包 含 对 应 的 绑 定 服 务 ， 可 通 过 传 入 参 数 达 到 以 s y s t e m 权 限 执 行 命 令 。 攻 击 者 利 用 漏 洞 可 将 权 限 提 升 至 s y s t e m 权 限 。 C N V D 对 该 漏 洞 的 技 术 评 级 为 “ 中 危 ” ， 但 其 影 响 范 围 较 广 ， 且 后 续 可 实 施 的 其 他 高 权 限 操 作 可 能 危 及 移 动 智 能 终 端 用 户 安 全 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 该 漏 洞 影 响 所 有 使 用 广 升 F O T A 服 务 的 m t k 平 台 手 机 。 根 据 报 送 者 提 供 的 测 试 情 况 ， 目 前 一 些 国 内 主 流 手 机 厂 商 的 相 关 型 号 手 机 产 品 （ 如 ： 3 6 0   f 4 手 机 、 华 为 畅 享 5 S 、 v i v o x 7 、 o p p o   r 9 m 等 ） 都 受 到 漏 洞 的 影 响 。 三 、 漏 洞 修 复 建 议 三 、 漏 洞 修 复 建 议   目 前 ， 上 海 广 升 公 司 已 提 供 漏 洞 修 补 方 案 并 已 着 手 积 极 通 报 渠 道 厂 商 修 复 该 漏 洞 。 C N V D 建 议 合 作 渠 道 手 机 生 产 厂 商 及 时 与 上 海 广 升 公 司 联 系 ， 升 级 到 最 新 版 本 ， 避 免 引 发 漏 洞 相 关 的 网 络 安 全 事 件 。 附 ： 参 考 链 接 ： h t t p : / / w w w . a d u p s . c o m / h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 6 - 1 1 3 4 7 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理