为什么图像库是终端漏洞的根源？三星手机立即变成砖头

因为墙纸导致手机再次变砖. 最近，据卫星通讯社报道，一个名为“冰宇宙”的用户发布了一张图片，该图片可能会导致三星手机崩溃. 他说: “无论如何都不要将此图片设置为墙纸，尤其是在三星手机上. ”

在其他用户评论中发现，某些用户将此图片设置为墙纸后，手机开始重新启动，闪烁并关闭. 一些手机用户声称他们丢失了所有信息.

但是，这次三星没有像以前的电池门那样对事件做出回应，因为其他手机很快就发现了类似的问题. 经过调查，最终发现该错误是由Android系统本身随附的图片库引起的，几乎所有Android手机都将成功. 这不是移动终端的图像库第一次突破安全漏洞.

一个月前，Google的“零项目”信息安全小组宣布了其在Apple的Image I / O中发现的一些错误. 图像I / O库是iOS，MacOS，WatchOS和TVOS共享的多媒体库，因此Google暴露的这一缺陷几乎影响了Apple的每个主要平台. Apple的图像I / O库和Android的图像库在各自的系统中具有相似的位置.

据了解，三星停机事件的主要原因是此墙纸使用RGB色域标准. Android 10系统将更喜欢选择色域较小的sRGB. 因此，在加载墙纸时，默认情况下需要色域. 转换时，此图片在色域转换中需要很长时间. 如果手机未能及时完成图片的色域转换，则系统最终将进入崩溃状态. 由于不能跳过传输墙纸的机制，因此手机必须恢复出厂设置.

因此，此Android手机停机问题是由图片库引起的流血. 除了造成崩溃之外，图像库还经常违反恶意攻击. 客户可以通过制作异常的媒体文件来使用图像分析程序. 漏洞，在目标主机上执行恶意代码.

01. 为什么图像库是终端漏洞的源头？

目前，在所有主流操作系统中，都将具有自动文件分类功能，并且用户可以在文件浏览器中浏览声音三星定位sdk，视频和图片等. 操作系统将自动解析任何新的多媒体文件. 此解析操作不需要与用户交互，甚至无法取消. 这是许多手机在这次事件中变成砖头的最大原因.

多媒体解析库的代码可以在各个平台上使用，也就是说，图像预解析的行为在每个操作系统中都是相同的. 由于上述原因，图像库通常是各种系统的弱点. 我们要做的就是找到一种方法，将格式错误的多媒体文件发送到设备，并等待文件处理，直到触发漏洞代码. 在当今的互联世界中，交换图像和视频是最常见的用户交互之一. 因此，如果发现一个重大漏洞并将其隐藏在映像文件中，则这是一种非常隐蔽且有效的攻击方法.

此漏洞的主角Android图像处理库是Google在其移动设备上使用的图像分析处理库. 由于其在应用程序生态系统中的核心作用，Android图像库就像是危险的攻击面. 它实际上为任何攻击者提供了入侵介质，因此不足以强调其安全性.

许多安全团队已警告说，由于缺乏超时处理机制而导致的此类问题也可能导致其他问题. 因此，色域选择超时的降低是一种重要的解决方案.

作者认为，目前用户最简单的规避方法是不替换任何墙纸图像，这可能会导致系统异常崩溃.

02. 如果世界上所有手机都蓝屏，那么保留银行的资金安全吗？

我看到在此事件之后，许多网民正在打开各种脑洞. 一旦所有蓝屏出现在世界各地的手机上，我们在银行的钱就会消失吗？

对于这种问题，作为多年金融科技阵线的资深人士，作者可以确定，简单的终端问题不会引起金融安全问题. 一般来说，可以保证金融应用程序的安全性. 是的，其安全级别与手机操作系统无关.

例如，当我们在手机中输入敏感信息（例如密码）时，它们通常基于应用程序自己的输入法. 输入元素乱序. 一旦应用程序发现密码重试了太多次，它将触发安全性. 保护机制和相关的安全方案仍然可以保证万无一失.

主要技术巨头已经建立了相关的安全团队，以应对日益增长的安全威胁. 例如，谷歌启动了零项目计划. 它的团队成员包括在2013年在AdobeFlash和Microsoft Office中找到的大量工具. 泄漏的新西兰人本·霍克斯（Ben Hawkes），著名的英国“零日漏洞杀害”专家Tavis Ormandy（Tavis Ormandy），George Holtz他成功破解了Google Chrome操作系统，并一度发现了神秘的瑞士黑客Brit Ian Beer，该人在Apple的iOS，OSX和Safari浏览器等中具有多个漏洞.

除了图像库，随着开源概念的不断流行，与过去相比，软件包之间的相互依赖性也显着提高. 例如，JavaScript Promise库中的两行代码在触发数百万之前. 该项目的崩溃以及Facebook SDK问题也导致了许多Apple应用程序崩溃.

此事件中的终端图像库可能仍然隐藏着巨大的风险三星定位sdk，因此业界也必须高度重视新的安全趋势，以免再次发生此类悲剧.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/sanxing/article-254942-1.html