最新的Android安全更新修复了脏牛，GPS漏洞

本周发布的每月Android安全更新修复了可能允许恶意应用程序完全控制设备的严重脏牛权特权升级攻击。

肮脏的牛（编写写作）是一个特权升级脆弱性，在Linux内核中存在于九年的Linux内核，并且已经在野外被剥削。它会影响Android，因为移动操作系统是基于Linux，但最初认为默认在Android中强制执行的Selinux安全策略提供了对攻击的一些缓解。

根据来自趋势科技的安全研究人员的情况，这是从趋势科技的安全研究人员，他们设计了一种新的肮脏牛攻击变量，通过直接将恶意代码注入其他进程来绕过SELinux限制。

“我们的概念证明补丁libbinder.so给我们的应用系统/ root权限，”趋势科技研究人员周二在博客文章中表示。“我们利用这种能力来绕过Android的许可安全模型来窃取信息和控制系统功能。”

谷歌上个月开发了脏牛的补丁，并与设备制造商共享。但是，它没有将其在其固件上的内容更新中的内容和像素设备的固件更新，而且没有为本月份的制造商包含强制性。

本月的安全更新还在下载GPS卫星信息的机制中解决了一个有趣的安全漏洞，称为GPS almanac。

来自安全咨询术语的研究人员已经发现，一些具有Qualcomm芯片组的Android设备从Internet服务器下载此GPS信息文件，而无需身份验证，加密或文件签名验证。这意味着攻击者可以拦截来自Android手机的下载请求的攻击者可以为设备提供虚假GPS帮助文件。

谷歌已将此漏洞评为高严重性，因为它可能导致拒绝服务攻击，延迟手机的GPS接收器建立GPS锁定。

根据梦幻般的研究人员，高通公司自2014年以来已知关于GPS almanac问题，并建议其OEM客户通过HTTPS下载GPS帮助文件或切换到其最新格式，包括数字签名。

12月Android安全更新还包括内核内存子系统，NVIDIA GPU驱动程序，NVIDIA视频驱动程序，内核离子驱动程序和各种高级组件中的关键漏洞修补程序。