谷歌威胁分析小组 (TAG) 警告称，三星移动处理器中的0day漏洞已被利用作为任意代码执行漏洞链的一部分。

该漏洞编号为 CVE-2024-44068（CVSS 评分为 8.1），并作为三星 2024 年 10 月安全修复程序的一部分进行修补，被描述为一个释放后使用漏洞，可能被滥用来提升易受攻击的 Android 设备上的权限。

NIST 的一份公告指出：“三星移动处理器和可穿戴处理器 Exynos 9820、9825、980、990、850 和 W920 的 m2m 缩放驱动程序中发现了一个漏洞。移动处理器中的释放后利用漏洞会导致权限提升。”

三星对 CVE-2024-44068 的安全公告并未提及该漏洞的利用，谷歌研究员 Xingyu Jin（他在 7 月份报告了该漏洞）和谷歌 TAG 研究员 Clement Lecigene 警告称，该漏洞已在野存在利用。

据他们介绍，问题出在一个为媒体功能提供硬件加速的驱动程序中，该驱动程序将用户空间页面映射到 I/O 页面，执行固件命令，并拆除映射的 I/O 页面。

由于该错误，在拆除 I/O 虚拟内存时，PFNMAP 页面的页面引用计数不会增加，而非 PFNMAP 页面的页面引用计数只会减少。

研究人员解释说，这允许攻击者分配 PFNMAP 页面，将其映射到 I/O 虚拟内存并释放这些页面，从而允许他们将 I/O 虚拟页面映射到已释放的物理页面。

Jin 和Lecigene 指出：“此0day漏洞是 EoP 链的一部分。攻击者能够在特权相机服务器进程中执行任意代码。该漏洞还将进程名称本身重命名为“ vendor.samsung.hardware.camera.provider@3.0-service ”，可能是为了反取证目的。”

该漏洞会取消页面映射，触发使用后释放错误，然后使用固件命令将数据复制到 I/O 虚拟页面，导致内核空间镜像攻击 (KSMA) 并破坏 Android 内核隔离保护。

虽然研究人员没有提供观察到的攻击的详细信息，但 Google TAG 经常披露间谍软件供应商利用的0day漏洞，包括针对三星设备的攻击。

新闻链接：

https://www.securityweek.com/google-warns-of-samsung-zero-day-exploited-in-the-wild/