ARM 揭露了其 GPU 驅動程式中的三個漏洞。 AndroidChromeOS 及其發行版 Linux這些漏洞允許非特權本機使用者以核心權限執行程式碼。在10月發布的平台安全報告中， Android 據悉，在修補程式發布之前，其中一個漏洞（CVE-2023-4211）已被攻擊者利用，並用於實施針對性攻擊（零日漏洞）。例如，攻擊者可以利用該漏洞，透過可疑來源分發的惡意應用程式取得系統完全存取權限，並安裝監視使用者的元件。
發現的漏洞：
- CVE-2023-4211 - 在 GPU 內存上執行不正確的操作可能會導致訪問已釋放的系統內存，而這些內存可能會被內核中的其他任務使用。該漏洞已在基於 Bifrost 和 Valhall 微架構的 Mali GPU 以及第五代 ARM GPU 的 r43p0 驅動程式更新中修復。 Midgard 系列 GPU 沒有可用的驅動程式更新。
該修復程式也包含在 Chrome OS 114/115/116 的 9 月更新和 10 月更新中。 Android有漏洞的 GPU 型號被用於 Google Pixel 7、三星 S20 和 S21、摩托羅拉 Edge 40、一加 Nord 2、華碩 ROG Phone 6、紅米 Note 11、12、榮耀 70 Pro、Realme GT、小米 12 Pro、OPPO Find X5 Pro、Reno 8 Pro 晶片中以及一些搭載的智慧型手機以及一些搭聯科材以及一些搭載 8 Pro 晶片中的智慧型手機。
- CVE-2023-33200 - 不正確的 GPU 操作可能會導致競爭條件並存取驅動程式已釋放的記憶體。該漏洞已在基於 Bifrost 和 Valhall 微架構的 Mali GPU 以及第五代 ARM GPU 的驅動程式更新 r44p1 和 r45p0 中修復。
- CVE-2023-34970 - 不正確的 GPU 操作可能會導致緩衝區溢位和記憶體越界存取。該漏洞已在基於 Valhall 微架構和第五代 ARM GPU 的 Mali GPU 驅動程式更新 r44p1 和 r45p0 中修復。
10 月的漏洞報告總共包括 Android 報告提及了 53 個漏洞，其中 5 個被評為嚴重等級（CVE-2023-24855、CVE-2023-28540 和 CVE-2023-33028），其餘漏洞被評為高風險等級（CVE-2023-40129 和 CVE-2023-0-4863）。報告還指出，ARM 組件中發現了 5 個漏洞，在聯發科組件中發現了 3 個漏洞，紫光展銳組件中發現了 1 個漏洞，高通組件中發現了 17 個漏洞（數據來自高通）。其中兩個漏洞（一個在 ARM GPU 中，一個在 libwebp 中）已被攻擊者用於攻擊（零時差漏洞）。
來源： opennet.ru
