国内白帽子发现两个安卓漏洞，获得谷歌11.25万美元的奖励-k8凯发游戏

安全研究员报告了一个漏洞利用链，能够用来黑掉谷歌pixel智能手机，为此，谷歌提供了112500美元的奖金。

2017年8月，360公司alpha团队白帽子发现了新的漏洞利用链，上周谷歌披露了该漏洞技术细节。据悉，该白帽子是通过android安全奖励（asr）计划提交了两个漏洞cve-2017-5116和cve-2017-14904。

谷歌发布的分析显示：“该漏洞链包括两个漏洞，cve-2017-5116和cve-2017-14904。 cve-2017-5116是一个v8引擎错误，用于在沙盒渲染过程中获得远程代码执行。 cve-2017-14904是android的libgralloc模块中的一个漏洞，用于chrome的沙箱中。 通过访问chrome中的恶意url，这个漏洞利用链可以用来将任意代码注入到system_server中。”

利用该漏洞，攻击者可以在访问chrome中的恶意url时，将任意代码远程注入到system_server进程中。在遭受攻击的情况下，受害者可能被诱骗点击这样的恶意url，进而彻底搞定他们的移动设备。

因为这个漏洞链，这位白帽子获得了105000美元奖励，他还通过chrome rewards计划获得了7500美元的额外奖金。google解决了这个漏洞，作为谷歌android 12月安全公告42个漏洞的一部分。

pixel智能手机以及使用a/b更新的合作设备，都能够自动安全更新了来解决这个了漏洞。

“android安全小组对我们的报告作出了快速反应，并在2017年12月的安全更新中包含了这两个漏洞的修复。受支持的google设备和设备安全补丁级别为2017-12-05或更高版本，都可解决这些问题。”谷歌总结道。

迄今为止，asr的总支出奖励超过了150万美元，最高研究团队凭借118个漏洞报告赚取了30万美元。