在Android安全补丁级别2023-03-01之前的版本中,android.os.WorkSource
这个类型存在Parcelable反序列化漏洞,成功利用漏洞的攻击者可实现以system身份发送任意Intent。关于该漏洞Google在安全公告中表示:
There are indications that CVE-2023-20963 may be under limited, targeted exploitation.
Google的描述看起来是轻描淡写,但是实际上针对此漏洞的利用代码被内置到了中国一家有着3亿多月均DAU的电商软件中,同时最早的漏洞利用时间已经很难考证,至少是长达半年。可以说是Android乃至网络安全行业极大规模的漏洞利用事件。
今天并非讨论这次在野利用事件,主要关注漏洞本身。
frameworks/base/libs/hwui/jni/Bitmap.cpp
,算是Android基础的功能,,不过在介绍漏洞之前需要先补一些前置知识。