「DarkNavy深蓝洞察」2022年度十大漏洞与利用之最缺失责任人漏洞(2)

系统碎片化是安卓生态的顽疾。
与碎片化相比，安卓设备复杂的软硬件供应链关系也是导致和加剧很多安全问题的根源，GPU 就是一个例子。
操作系统、GPU 驱动芯片厂商、安卓设备厂商之间很难保持一致的步调。
根据 Google Project Zero 的统计，2021 年针对安卓系统的在野利用中，攻击了 7 个 0-day 漏洞，其中 5 个都位于 GPU 驱动中 。

2022 年，GPU 驱动的安全性并没有显著改善。GPU 与 CPU 之间复杂的物理内存管理和共享关系、GPU 驱动与用户态应用复杂的交互通道，使得 GPU 依然是安卓系统非常脆弱的一环。
这一年里，ARM Mali、Qualcomm Adreno、PowerVR 等主流 GPU 驱动都相继曝出很多漏洞 。
尤其值得一提的是，与传统内存安全漏洞不同，GPU 漏洞经常引起物理页面的使用错误，导致用户态 App 获取对释放后的物理页面的任意读写，进而转化为对特权页面的读写操作，以至于基于虚拟地址的内存安全机制很难阻止这类攻击。
这类问题在不同 GPU 厂商的代码里频繁发生，显示出强大的共性漏洞特征。
有漏洞不可怕，有漏洞却无法及时修复才可怕。
安卓生态的长供应链导致漏洞很难及时修复的现象在 GPU 这个案例上格外明显。
即便上游厂商能第一时间发布安全补丁，漫长的供应链关系也严重延滞了这些补丁最终的部署和生效。
从 GPU 驱动厂商获知漏洞、发布补丁，到最终设备厂商发布补丁，可能需要半年以上时间！