轉載「CISA 警告美國政府各單位立即修補已遭攻擊的 Android 驅動程式漏洞」訊息

【國際政府組織資安資訊】

💣💣💣CISA 警告美國政府各單位立即修補已遭攻擊的 Android 驅動程式漏洞🔧🔧🔧

美國資安最高主管機關「網路安全暨基礎設施安全局」（Cybersecurity and Infrastructure Security Agency, CISA）近日發布命令，要求美國聯邦政府旗下各單位立即修補一個高危險的 ARM Mali GPU 核心驅動程式執行權限提升漏洞。

CISA 通令修補的漏洞為 CVE-2021-29256，是一個「釋放後使用」（use-after-free）漏洞，駭侵者可操弄受攻擊 Android 系統上的 GPU 記憶體，誘發這個漏洞來提升自身執行權限到最高的 root 等級，即可存取各種裝置上的機資訊。

CVE-2021-29256 的 CVSS 危險程度評分高達 8.8 分（滿分為 10 分），危險程度評級為「高」（High）；CISA 是在 2023 年 7 月 28 日將這個漏洞列入「已知遭濫用漏洞列表」（Known Exploited Vulerabilities Catalog，KEVC）之中。

雖然 CISA 發表的 KEV 資安更新通令僅對美國聯邦政府旗下單位有約束力，但建議各公私單位依照 CISA 通報進行各種系統的資安更新。

 詳細資訊請參考：https://www.twcert.org.tw/tw/cp-104-7243-93141-1.html