90 天期限已过,谷歌研究团队公开曝光 Chrome OS 笔记本高危严重性 USB 漏洞
消息来源:baojiabao.com 作者: 发布时间:2024-05-16
最新 5 月 27 日消息,据 Neowin 报道,Project Zero 是 Google 的团队,负责发现不同产品中的安全漏洞,然后私下将它们报告给相应的供应商。并提供了 90 天的最后期限,以便在问题公开之前对其进行修补。在某些情况下,也可能会提供 14 天的宽限期。
Google Project Zero 此前曾报告过 Google 自己的产品以及属于其他产品的重大问题,例如 Windows、iPhone、Qualcomm Adreno GPU、GitHub 等。现在,在相关团队未能在规定的 90 天内修复之后,该团队公开披露了 Chrome OS 中的一个错误 Bug。
问题涉及 Chrome OS 在设备锁定时如何处理 USB 设备。本质上,Chrome OS 使用 USBGuard 为 USB 设备配置允许列表和阻止列表。但是,此框架的错误配置可能导致未经身份验证的 USB 设备能够访问 PC 的内核和存储。
正如 Google Project Zero 安全研究员 Jann Horn 所描述的那样,Chrome OS 中的 USBGuard 有一个阻止列表,它不会在锁定的屏幕上使用特定的类接口描述符来验证 USB 设备。但是,在此验证之后,将允许所有其他接口。
这意味着,虽然未经身份验证的 USB 设备将在锁定屏幕上被正确阻止,但其他设备可以模拟大容量存储设备,修改攻击者内核使其不显示为 USB 设备,并通过身份验证。这是因为 USB 类对内核无关紧要,因此它也允许从看似经过身份验证的设备进行修改。Jann Horn 指出:
"除了不属于这些 USB 接口类设备的驱动程序中存在大量攻击面的问题之外,这种方法还有另一个问题:内核通常不关心设备声称属于哪个 USB 类。USB 驱动程序倾向于工作的方式,即使对于标准化协议,驱动程序以低优先级指定它希望使用适当的 USB 接口类绑定到符合标准的设备,但也以高优先级指定它希望根据 Vendor ID 和 Product ID 绑定到特定的 USB 设备,而不关心它们的 USB 接口类。
[...] 如果我们使用具有适当硬件的 Linux 设备(我使用的是 NET2380 开发板,但你也可以使用解锁的 Pixel 手机或 Raspberry Pi Zero W 或类似的东西)来模拟 USB 大容量存储设备,使用 (this),并在攻击者内核中修补一行,使其声称是广告牌,而不是存储设备。"
此问题被标记为高危严重性漏洞,并于 2 月 24 日私下向 Chrome OS 团队报告。然而,在对该漏洞进行分类后,该团队将其指定为低严重性漏洞,并在 3 月 1 日表示将通过匹配来解决问题基于驱动程序而不是类接口描述符。5 月 11 日,Chrome OS 团队提供了进度更新,但由于无法在规定的 90 天内修复该漏洞,该问题于 5 月 24 日被公开曝光。
目前尚不清楚补丁何时推出,但需要注意的是,这是一个本地漏洞,需要攻击者手动插入 USB 来篡改设备及其内核,不能被远程利用。
2022-12-19 17:37:18相关文章
- 美国法院裁定阿里须为Squishmallows玩具侵权案答辩
2023-12-28 19:59:34
- 小米汽车传员工3700人 雷军称小米汽车不可能卖9万9
2023-12-28 19:41:57
- 国家新闻出版署:认真研究《网络游戏管理办法(草桉徵求意见稿)》关切 实行前进一步完善
2023-12-28 19:14:56
- 天猫新规可以无条件申请“仅退款”了?淘宝天猫又离狗多多零元购近了一步
2023-12-28 18:57:55
- 印度以打击金融犯罪为由逮捕了两名 vivo 高管
2023-12-26 16:49:01
- 在国外微信收不到国内信息?微信和WeChat将被拆分
2023-12-15 10:40:15
- 苹果iPhone15 系列手机发布最新消息 预计上市发布时间9月
2023-08-06 23:21:02
- 华为将发布鸿蒙HarmonyOS4操作系统 功能五大升级支持设备清单
2023-08-06 23:17:37
- 整治自媒体网红账号 400万粉丝网红发布擦边视频被无限期封禁
2023-07-12 09:56:09
- 网传微信文件传输助手是真人是真的吗?微信官方回应
2023-06-27 15:53:32
- 电信移动送手机成了“信用购”?你上了运营商的贷款套路了吗?
2023-06-12 17:18:55
- 中国电信广东地区崩了无信号 客服回应已在核实处理
2023-06-08 15:39:04
- 消息称小米新能源汽车价格表正讨论定价区间:双版本不同配置,高配或超 35 万元
2023-03-06 12:56:03
- 华为因制裁被传或分拆剥离手机业务? 内部人士回应:可能性不大.
2023-03-05 23:26:41
- OPPO正式发布安第斯智能云,让终端更智能
2023-02-24 16:02:27
- 华为与OPPO签订全球专利交叉许可协议 包括5G蜂窝通信专利
2023-02-24 16:02:26
- 老蛙将推MINI镜头新品:目前未知具体规格 官宣将于12月20日发布
2023-02-24 16:02:26
- 首发全新35mm定制光学系统 努比亚Z50性能同样强悍
2023-02-24 16:02:25
- Redmi K60屏幕细节曝光:全系标配2K护眼柔性直屏+5000mAh大容量电池
2023-02-24 16:02:25
- OPPO Find N2今天发 合金金属折叠屏更轻了
2023-02-24 16:02:24