（G-G）修复 Pixel 10 零点击漏洞5 行代码攻克内核

Google Project Zero团队在5月13日发布了一份技术分析，详细披露了一个针对Pixel 10手机的“零点击”提权攻击链。好消息是，这个高危漏洞已经在今年2月的安全更新中被修复。

整个攻击过程环环相扣：攻击者首先利用并调整了一个已知的Dolby音频解码器漏洞，然后借助Tensor G5芯片VPU驱动中的一个设计缺陷——该缺陷允许将任意物理内存映射到用户空间——最终实现了对内核的任意读写，并获得了内核级代码的执行权限。

攻击链的第一环节，其实是研究人员对其今年1月针对Pixel 9所发布的三篇研究的扩展和更新。他们利用了Dolby Unified Decoder库中的一个漏洞（编号CVE-2025-54957）。这里需要说明的是，这个负责处理Dolby Digital音频格式的库应用范围很广，不仅限于安卓，也集成在iOS、Windows乃至各种流媒体设备中。

问题的关键在于，许多安卓设备（包括Pixel）有一个特性：在用户点开消息之前，系统就会自动为Google Messages收到的音频消息生成文字转写。这意味着，一段精心构造的恶意音频文件只要发送到目标手机，就可能在用户毫无察觉、无需任何交互的情况下触发漏洞。这正是“零点击”攻击最令人防不胜防的地方。

由于Pixel 10采用了名为RET PAC的安全增强技术，攻击者原先可以用来覆盖的__stack_chk_fail函数已不再可用。于是，研究团队调整了策略，改为覆盖dap_cpdp_init初始化代码来达成目的。

到了第二个提权环节，情况发生了变化。在Pixel 9上用于提权的BigWa ve A V1解码驱动，在Pixel 10上已经不再使用。研究人员Jenkins和Jann Horn转而检查Tensor G5芯片的VPU驱动，结果仅仅花了两个小时，就发现了一个严重的漏洞。

这个驱动的问题在于，它没有采用标准的V4L2（Video for Linux）API，而是将硬件接口更直接地暴露给了用户态程序，甚至允许映射MMIO（内存映射输入输出）寄存器区域。这种设计本身就显著增加了安全风险。

具体的漏洞出在驱动的mmap处理逻辑上：它根据VMA（虚拟内存区域）的大小调用remap_pfn_range函数，却没有将这个映射范围限制在硬件寄存器区域本身的大小之内。后果就是，调用者可以将任意数量的物理内存映射到用户态，理论上甚至包括整个内核镜像。

对于攻击者而言，这几乎是一条“康庄大道”。研究报告指出，Pixel设备的内核总是位于固定的物理地址，攻击者可以直接推算出它相对于mmap返回地址的位置，根本不需要再进行额外的内存扫描来定位内核。

Jenkins透露，实现内核的任意读写，仅仅用了5行代码，完整的漏洞利用代码在不到一天内就编写完成。这恰恰说明，问题不仅仅在于某个单一的漏洞，更在于驱动层的基础安全防护，似乎远远跟不上系统处理多媒体内容的需求和速度。

在修复时间线上，Jenkins于2025年11月24日向Google报告了这个VPU驱动漏洞。71天后，也就是2026年2月，Google在当月的Pixel安全公告中完成了修复。

至于Dolby相关的漏洞利用，主要影响安全补丁级别（SPL）为2025年12月或更早的设备。Pixel 10用户可以通过进入“设置” → “关于手机” → “Android安全更新”来查看自己的版本，确认设备是否已经受到保护。