本站 1 月 14 日消息，谷歌Project Zero 團(tuán)隊(duì)發(fā)文，披露了三星海外版本手機(jī)存在的一個(gè)高風(fēng)險(xiǎn)內(nèi)存越界寫(xiě)入（OBW）漏洞 CVE-2024-49415，該漏洞位于 Monkey"s Audio（APE）音頻解碼器組件 libsaped.so 中。
本站參考報(bào)告獲悉，谷歌團(tuán)隊(duì)在海外版本 Galaxy S23 / S24 手機(jī)中發(fā)現(xiàn)了相關(guān)問(wèn)題，這些手機(jī)主要預(yù)裝了 Google Messages 應(yīng)用，且默認(rèn)啟用 RCS 功能，黑客可用其他設(shè)備向這些手機(jī)的 Google Messages 應(yīng)用發(fā)送特定音頻文件，即可令手機(jī)的 libsaped.so 組件崩潰，從而實(shí)現(xiàn)遠(yuǎn)程執(zhí)行任意代碼。
谷歌表示，三星已于今年 9 月收到相關(guān)報(bào)告，并在 12 月通過(guò) SMR Dec-2024 Release 1 安全補(bǔ)丁更新進(jìn)行了修復(fù)。
值得注意的是，雖然這一漏洞的 CVSS 風(fēng)險(xiǎn)評(píng)分為 8.1，但三星將其評(píng)定為“重大”級(jí)別。這一決定可能與相關(guān)漏洞無(wú)需用戶(hù)交互即可觸發(fā)的特性有關(guān)。
