Google修补Android重大蓝牙安全漏洞

Google本周释出Android安全公告，修补13项漏洞，包括一个影响Android 8、8.1及9，可在用户未动作下，即被远端执行程式的重大蓝牙漏洞。

本月修补的漏洞中，最严重的是编号CVE-2020-0022的漏洞。它是由德国安全厂商Insinuator去年11月发现，影响Android蓝牙子系统。在Android 8.0、9.0版本上，如果用户手机开启蓝牙，则位于用户附近的攻击者可使用蓝牙daemon程式权限，暗中执行任意程式码，借此可以窃取个人资讯甚至助长蠕虫程式散布。

安全研究人员指出，在Android 8/9版本上，攻击者只需知道目标手机的蓝牙MAC address，过程中无需使用者动作。WiFi MAC address就可以推算出蓝牙MAC address。

但该漏洞在Android 10装置上无法被开采，只会造成蓝牙daemon当掉。至于Android 8.0以前的装置，研究人员尚未做过测试，但表示应该也会受影响。Google将Android 8、8.1与9的该漏洞风险列为重大。在Android 10上则为中度。

研究人员呼吁用户若无法安装更新，则应关闭手机蓝牙连线，必要时才打开，不然就要设定手机无法被搜寻到。

本次安全公告还修补一个影响Android 10，可能导致身份个资遭窃的重大风险漏洞CVE-2020-0023。以及影响Android 8-9或Android 10，可造成权限升级及身份窃取的高度风险漏洞。