【DEF CON 2018】25款Android手机的固件或预载程式含有安全漏洞

行动资安业者Kryptowire在上周于拉斯维加斯（Las Vegas）展开的DEFCON骇客大会上揭露，有25款Android手机在出厂时的固件或预设程式就含有安全漏洞，在这些装置上总计找到大大小小的35个漏洞，有些轻微的漏洞只会造成装置当掉，严重的漏洞则会让骇客取得装置的最高权限。

当初Kryptowire主要锁定由6家美国电信营运商负责销售的高、低阶Android手机进行分析，以探索这些手机在出售给消费者时所预载的程式或固件的安全性，但事实上该研究结果影响了全球的装置，这些漏洞全都超出了Android平台既有的许可，包括执行任意程式、取得调制解调器与程序（logcat）日志、移除装置上的使用者资料、读取或变更装置用户简讯、传送任意简讯，或是取得装置通讯录等。

Kryptowire表示，现身于固件或预载程式上的漏洞意谓著消费者在安装其它程式或进行无线通讯之前就已曝露在安全风险中，更严重的是，针对固件的攻击程式得以绕过Android上的各种防御机制，不论是行动威胁侦测、防毒软件或其它技术，因为这些安全程式无法侦测应用程序层背后的漏洞，因而无法抵抗固件攻击。

例如中兴的ZMAX Pro允许骇客取得装置用户的所有简讯，甚至是插入、变更或删除简讯，而ZMAX Champ所预载的某个程式允许装置上任一程式透过回复出厂设置移除装置上的所有资料；Vivo的V7所预载的程式则能在未取得使用者授权之下擅自记录屏幕画面；Oppo的F5可悄悄录音并存至SD卡，还能执行命令；LG的G6能够锁住用户、取得logcat与核心纪录；Asus的ZenFone 3 Max内建的程式则能获得各种错误报告、装置资讯或Wi-Fi密码，还能拍下屏幕画面或执行命令。

Kryptowire向Wired解释，这主要因为供应链中的成员想要进行客制化、添增自己的程式或程式码，却同时扩大了攻击表面，并提高软件出错的可能性。

此一研究是由美国国土安全部（DHS）所支持，Kryptowire已于官网列出了所有手机型号与相关漏洞。