Google 警告三星，别乱动 Android 内核代码

　　Google Project Zero(GPZ)团队向三星发出警告，如果三星在 Galaxy 系列手机中修改内核代码，将会暴露更多安全漏洞。

　　GPZ 研究员 Jann Horn 在三星 Galaxy A50 的安卓内核中发现错误。Jann Horn 指出，像三星这样的智能手机制造商会通过添加下游定制驱动程序来直接访问 Android 的 Linux 内核，结果造成了更多的安全漏洞。

　　同时，Jann Horn 还表示，三星的做法在所有智能手机厂商中相当普遍——即手机厂商向 Linux Kernel 中添加未经上游(upstream)内核开发者审核的下游(downstream)代码，增加了与内存损坏有关的安全性错误。尽管这些下游定制代码旨在增加设备的安全性，但是它们可能会带来新的安全漏洞。例如，三星原本准备增强内核安全的代码结果带来了内存损坏漏洞。2019 年 11 月，Google 向三星通报了这一漏洞。

　　据悉，该漏洞影响了三星的额外安全子系统，这个额外的系统名为 PROCA 或 Process Authenticator 。随后，在 2020 年 2 月，三星表示已在手机更新程序中修复了该漏洞。另外，值得一提的是，三星在 2 月份的手机系统更新中还包括一个针对“TEEGRIS 设备”中严重缺陷的补丁。据介绍，TEEGRIS 设备指的是搭载三星专有 TEE 操作系统的较新 Galaxy 手机上的可信执行环境(TEE);而 Galaxy S10 就是 TEEGRIS 设备之一。

　　在三星的描述中，SVE-2019-16132 (雷锋网按：三星对该漏洞的代号)是一个并不严重的问题，是由 PROCA 中的 Use-After-Free 和 Double-Free 漏洞组成，允许黑客在一些运行 Android 9.0 和 10.0 的 Galaxy 手机上“执行任意代码”。

关注“258企业服务平台“官方微信公众号，每日获取最新前沿资讯，热点产品深度分析！