谷歌8月修复两个已遭在野利用的高通漏洞

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

谷歌发布安全更新，修复了位于安卓中的多个漏洞，其中两个高通漏洞已被标记为“遭在野利用”。这两个漏洞是CVE-2025-21479（CVSS评分8.6）和CVE-2025-27038（CVSS 评分7.5），它们在2025年6月就和另外一个漏洞CVE-2025-21480（CVSS评分8.6）一起披露。

CVE-2025-21479和Graphics 组件中的一个授权不正确漏洞有关，它可导致因GPU微码中的越权命令执行而损坏内存。CVE-2025-27038是位于 Graphics 组件中的一个释放后使用漏洞，可导致内存损坏，同时使用 Chrome 中的 Adreno GPU 驱动渲染图形。

目前尚不清楚这些漏洞如何在现实中遭利用，但高通当时表示，“谷歌威胁分析团队指出CVE-2025-21479、CVE-2025-21480和CVE-2025-27038可能遭有限的针对性利用。”

鉴于高通芯片级中的类似漏洞过去曾遭商用监控软件厂商如 Variston 和 Cy4Gate 的利用，因此推测上述漏洞可能也已被滥用于类似的上下文中。这三个漏洞已被CISA纳入必修清单，联邦机构必须在2025年6月24日前应用更新。

谷歌还修复了两个位于安卓框架中的高危提权漏洞（CVE-2025-22441和CVE-2025-48533）以及位于System 组件中还存在一个严重漏洞（CVE-2025-48530），后者与其它缺陷组合利用可导致远程代码执行后果，而无需任何其它权限或用户交互。

谷歌发布了两个补丁级别2025-08-01和CVE-2025-08-05，后者继承了Arm和高通的闭源和第三方组件修复方案。建议安卓设备用户届时应用这些更新，以免受潜在威胁。

开源卫士试用地址：https://oss.qianxin.com/#/login

代码卫士试用地址：https://sast.qianxin.com/#/login

推荐阅读

谷歌修复安卓遭活跃利用的 FreeType 0day漏洞

谷歌修复已遭利用的安卓0day

谷歌修复已遭利用的两个安卓 0day 漏洞

谷歌修复已遭利用的安卓内核0day漏洞

谷歌安卓应用的RCE漏洞最高赏金45万美元

原文链接

https://thehackernews.com/2025/08/google-fixes-3-android-vulnerabilities.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~