CERT-In 警示的51项 Android 漏洞：及时更新为何重要

智能手机连接着日常生活与工作：通信、查询信息、银行交易和服务预订都依赖它。设备保存的个人及工作信息越多，安全维护就越重要。本文回顾印度计算机应急响应小组 CERT-In 在2023年针对五十多项 Android 漏洞发布的警示，当时部分漏洞已有被利用的迹象。这是历史存档，而不是最新漏洞清单。

这次警示为何值得重视

原文涉及影响 Android 11、12、12L及13的51项漏洞。受影响设备范围广，因此用户、移动系统开发者和运维团队都需要及时关注修复。

CVE编号为每项漏洞提供统一标识，使各方能讨论和跟踪同一个问题。技术团队可以据此核对安全公告与补丁，而不只依赖笼统的风险描述。

影响范围包括 Android 框架、系统、通过 Google Play 更新的组件，以及 Arm、MediaTek、Unisoc和Qualcomm的组件。因此，修复不只取决于 Google，也涉及硬件供应商和设备制造商。

设备与数据面临哪些风险

具体风险取决于漏洞及利用条件，可能包括权限提升、未经授权的代码执行、敏感信息访问或拒绝服务。后果可能是数据泄露或手机运行中断，但并非每项漏洞都导致相同攻击。

当时特别受到关注的是 CVE-2023-4863 和 CVE-2023-4211。前者涉及多种软件使用的 WebP 图像处理库，后者涉及 Arm Mali GPU 驱动的内存管理。相关警示指出，这两项漏洞可能正在被利用，因此及时更新尤为重要。

补丁必须适用于实际设备

用户应关注设备厂商提供的系统、内核及相关组件更新，并及时安装适用补丁。只更新某个应用，并不一定能修复系统或驱动层面的漏洞。

在2023年原文发布时，Google已为Pixel提供十月安全更新；其他品牌设备则取决于各厂商的发布时间。这是当时的情况。今天应检查自己设备的最新更新，不能把2023年十月补丁视为已经足够。

持续维护，而非一次性处理

CERT-In 的警示说明，安全更新不是可有可无的操作。持续关注官方公告、使用仍受支持的设备，是降低风险的务实做法。企业允许手机访问工作数据和系统时，也应把更新管理纳入考虑。