Qualcomm 高通基带曝出严重安全漏洞 影响全球数亿Android智能机用户
全球有超过 30 亿的智能机用户，且其中将近 1/3 都在使用被曝出大量漏洞的高通基带芯片，意味着攻击者可对数亿人发起 SIM 卡破解攻击并监听通话 。与 BLURtooth 蓝牙漏洞相比，高通移动芯片组上存在的安全隐患要严重得多 。遗憾的是，即便 Android 智能机占据了市场的大头，但修复程序仍无法做到快速向所有受影响的终端推送 。
文章图片
三星、LG、谷歌、一加、小米等厂家均未能幸免
安全公司 Check Point 的研究报告称，去年他们在高通骁龙芯片组的数字信号处理器（DSP）子系统上发现了超过 400 个漏洞，庆幸的是该公司最终在 2020 年 11 月予以修复 。
然而近日，研究人员又在高通基带芯片（Mobile Station Modem）上发现了又一个严重的安全漏洞 。作为一款系统级芯片，它负责管理现代移动设备上的所有处理、管理、以及无线联网功能 。
早在 1990 年，高通就率先拿出了初代设计方案 。现如今，全球约 40% 的智能机都在使用 。然而 Check Point 的新研究，揭示了恶意行为者可如何利用高通基带芯片漏洞来发起潜在的攻击 。
具体说来是，他们研究了 Android 智能机上被称作 Qualcomm MSM Interface（即 QMI 接口）的专有通信协议，及其与各种组件和外围设备进行通讯的能力（全球 30% 智能机上都可实现） 。
结果发现，恶意行为者能够通过在智能机上侧载 App（或第三方应用商店获得）而利用该漏洞 。作为验证，Check Point 借助了一种被称作模糊测试 MSM 数据服务的过程 。
通过将恶意代码注入负责管理 MSM 的高通实时操作系统（QuRT）内，攻击者可以轻松得逞 —— 即便此事甚至不该在已经获得 Root 权限的 Android 设备上发生 。
TechSpot 指出，QMI 语音服务是 MSM 模块向 Android 移动操作系统公开提供的众多服务之一，可用于接管 MSM 并在 QuRT 中注入代码 。
而后攻击者可轻松访问 SMS 和呼叫历史记录，并开始监听受害者的语音通话 。此外攻击者能够利用相同的漏洞来破解 SIM 卡，并绕过谷歌和手机制造商采取的所有安全措施 。
万幸的是，高通已经向所有受影响的客户披露了该漏洞（CVE-2020-11292）的存在，并于 2020 年 12 月发布了补丁修复程序 。至于具体有哪些手机收到了相关补丁，还请留意将于 6 月公布的 Android 安全公告 。
最后，考虑到许多 Android 智能机厂商只给手机提供了 2 年的大版本更新，预计许多入门级设备可能无法快速获得这一补丁、甚至根本就不再有安全更新 。
【Qualcomm|高通基带曝出严重安全漏洞 影响全球数亿Android智能机用户】无论哪种方式，该漏洞都对全球数以亿计的智能机用户造成了重大影响，甚至连最新的高通骁龙 888 / 870 5G SoC 都未能幸免 。
推荐阅读
- 硬件 机构：前十大芯片巨头营收创纪录 高通向中芯国际大幅投产
- 通信技术 高通、博通、联发科已开始研发Wi-Fi 7芯片 问世还需2-3年
- Intel Intel 5G笔记本基带详情：峰值下载4.7Gbps、中国三大运营商都在
- Qualcomm 骁龙888 Pro现身跑分网站：CPU提升至3.0GHz
- Qualcomm 传闻高通即将推出的掌上游戏机不会搭载基带
- Qualcomm 高通展望5G连接的未来：智能手机、PC、XR继续进化，毫米波飞速发展
- Qualcomm 消息称高通已与联华电子达成一项长期协议
- Qualcomm 力推ARM Windows 10：高通推出骁龙开发套件
- Qualcomm 高通微软联合打造用于Windows on ARM开发的骁龙开发工具包
- Qualcomm 高通公司发布骁龙7c第二代面向入门级PC和Chromebook开发