高通安全執行環境 (qualcomm secure execution environment, qsee) 中的乙個關鍵提權漏洞 (elevation of privilege, eop) 仍影響全世界大約六成的安卓裝置。而該漏洞早些時候曾得到過一次修復。
問題的根源在於 widevine qsee trustzone 應用中的乙個關鍵提權漏洞cve-2015-6639，而該漏洞在今年一月已經被谷歌發布的包含12個安卓漏洞補丁的補丁包修復。該漏洞可能讓黑客控制的、擁有特權的應用訪問qseecom，在trustzone環境下執行任意**。
該漏洞的原理可以大致歸納如下：qseecom是一種linux核心裝置，可讓mediaserver（它在正常的作業系統中執行，也即「正常世界」）等通常的使用者空間程序與安全作業系統下受信任的應用（也被稱為trustlet，管理著受保護的服務和硬體，後者也被稱為「安全世界」）進行通訊。因此，「正常世界」中執行的惡意軟體可以呼叫trustlet，利用其中的漏洞入侵裝置。
trustzone核心執行在「安全世界」中，而qseecom則在「正常世界」中。不過，兩者都是核心模式的一部分。在特定的情況下，能夠在mediaserver下執行惡意**的攻擊者能夠利用執行在「安全世界」中的應用 (widevine的drm軟體) 的漏洞，並通過更改「正常世界」的linux核心獲得受害裝置的完整控制許可權。
gal beniamini 在最近發布的一篇博文中解釋稱，qsee擁有相當高的許可權，它能夠直接與trustzone核心進行互動，並訪問硬體安全保護著的trustzone檔案系統。此外，它還能夠直接訪問系統記憶體，因此黑客可以劫持linux核心，而不需要找到並利用某種核心漏洞。
不過，攻擊者仍舊需要利用mediaserver中的某個漏洞，但這些漏洞顯然並不難找。2023年年中，stagefright漏洞得到**，谷歌在那段時間每週都會發布針對mediaserver的補丁，而2023年5月對nexus裝置發布的公升級更新也包含了此類補丁。
gal beniamini 在去年發現了這一問題，duo security 公司稱，它影響執行高通處理器的安卓裝置中的75%。duo公司還表示，80%的安卓裝置使用的是高通處理器，但只有25%的使用者安裝了補丁，這意味著還有60%的裝置仍存在漏洞。
儘管存在問題的裝置已經收到了2023年1月的安全更新，仍有大量裝置沒有打補丁。該補丁的唯一作用就是修補該漏洞，但生產生必須將它適配到自家裝置上並推送給運營商，而運營商則需要審批並進行部署。這個過程十分緩慢，老舊的裝置經常會在這一公升級週期中被落下，這意味著數百萬使用者永遠不會收到這一更新。
duo security公司研究人員表示，他們通過分析擁有50萬台企業級裝置的資料集，發現大約27%的安卓裝置仍存在該漏洞。要想解決這一問題，生產商和運營商必須針對受影響的安卓版本裝置設計並推送該補丁。
今年3月，火眼公司的研究人員發布了關於乙個嚴重的資訊洩露漏洞的詳細資訊，該漏洞影響數百種安卓機型使用的高通軟體包。具體來看，該問題存在於高通網路共享控制器中，漏洞號為cve-2016-2060，惡意應用可以使用它訪問使用者資料。
同樣在3月，在研究人員發現一些root應用正在濫用核心中的乙個本地提權漏洞之後，谷歌發布了針對安卓裝置的緊急安全補丁。
高通編譯環境一鍵安裝包
之前一直都在marvell平台上開發android，marvell平台的cp只release二進位制檔案，所以開發過程中一般只需要修改並編譯ap端的 就可以了。最近乙個月，由於專案需要，開始轉到開發高通平台的android。初步接觸下來，高通平台和marvell平台有很大不同。最顯著一點就是，mar...
執行環境 頁面載入 效能優化 安全性
瀏覽器可以通過訪問鏈結來得到頁面內容 通過繪製和渲染，顯示出頁面最終樣子 整個過程我們需要考慮 頁面載入 效能優化 安全性 頁面載入 載入資源的形式 輸入url 或頁面跳轉 載入html 載入乙個資源的過程 瀏覽器根據dns伺服器得到網域名稱的ip位址 向這個ip的機器傳送http s 請求 伺服器...
高通正式請求美法官中止執行反壟斷判決 稱上訴將成功
鳳凰網科技訊北京時間 5 月 29 日訊息，高通公司在周二正式請求美國聯邦法官高蘭惠 lucy koh 在其上訴期間中止執行反壟斷判決。高通的上訴可能在一年多以後才會出結果。高通在提交給加州聖何塞聯邦法院的檔案中稱，公司相信能夠在上訴時取得成功。目前，高通尚未正式提起上訴，周二提交的文zjpjelr...