高通芯片漏洞：或影响全球三成Android手机　让黑客有机可乘

据安全研究人员称，一个新的高通（Qualcomm）芯片漏洞可能会影响全球30%的Android（Android）手机。

中国媒体IT之家5月8日报道，5G调制解调器（Modem）数据服务中的一个漏洞可能允黑客通过向手机的调制解调器注入恶意代码来远程攻击Android用户，获得执行代码的能力，访问移动用户的通话记录和短信，并窃听电话。

Check Point研究公司称，该漏洞（CVE-2020-11292）存在于高通公司的移动站调制解调器（MSM）接口中，该接口被称为QMI。MSM是高通公司设计的片上系统（SoC），QMI是一个专有协议，用于调制解调器中的软件组件和其他外围子系统之间的通信。

该漏洞的影响可能是深远的：MSM自移动互联网前2G时代的移动设备开始使用，根据Check Point的数据，QMI在全球大约30%的手机中使用，包括Google Pixel、LG手机、One Plus手机、Samsung的旗舰Galaxy系列和小米手机。

Check Point发言人告诉安全讯息网站Threatpost，从本质上讲，攻击者可以利用这个漏洞，通过恶意的或木马化的Android应用程式，远程攻击移动设备。他说：“假设一个恶意应用程序在手机上运行，它可以利用这个漏洞将自己‘隐藏’在调制解调器芯片中，使其在目前手机上的所有安全措施中不可见。”

该发言人说，Check Point决定不分享该漏洞的所有技术细节，以免给黑客提供一个关于如何策划利用的路线图。然而，他指出：“基本上，我们试图从手机本身，而不是从运营商方面‘攻击’芯片。我们在那里发现了一些有趣的漏洞，导致远程代码执行”。

好在，高通公司已经发布一个修复方案，但是补丁的推出速度会很慢。

“高通公司说它已经通知了所有的Android供应商，我们自己也和其中一些供应商谈过，”该发言人告诉Threatpost，“我们不知道谁打了补丁或没有。根据我们的经验，这些修复措施的实施需要时间，因此许多手机可能仍然容易受到威胁”。

IT之家了解到，高通公司的芯片以前就有缺陷。例如，Check Point在2020年的计算机安全会议DEF CON上披露了高通公司骁龙（Snapdragon）移动芯片组的六个严重缺陷，它们影响了40%正在使用的Android手机，并使手机受到拒绝服务和权限升级的攻击。