安卓爆「死亡簡訊」漏洞！不用點連結就直接癱瘓　重開機也無解

圖文／鏡週刊

Android系統近日爆出有重大安全漏洞「死亡簡訊」（SMS of Death），攻擊者只要傳送特製簡訊，用戶即使沒有點擊連結或下載程式，只要被動接收特定簡訊觸發系統崩潰，標手機就會直接癱瘓，嚴重時甚至連重新開機都無法恢復。

廣告 更多內容請繼續往下閱讀

安卓「死亡簡訊」是什麼？

資安研究員馬克·布拉什奇克（Mark Blaszczyk）揭露，這項漏洞鎖定Android系統處理WAP Push推播簡訊的機制。攻擊者只要傳送經過特殊設計的八位元組協定資料單元，手機便會自動讀取，但由於系統未事先檢查數值是否超出處理範圍，可能引發數值溢位，導致負責處理通話的系統元件當機。單次攻擊可能造成1至2秒的服務中斷，若持續傳送約20則惡意簡訊，則可能形成持續性阻斷服務攻擊；短時間內收到約30則，更可能讓系統陷入反覆崩潰的循環，即使重新開機也無法恢復。

由於這項攻擊採取「零點擊」方式，只要手機接收特定簡訊便可能觸發，除非拔除SIM卡或中斷網路連線，否則可能持續受到影響；對使用eSIM的用戶而言，處理上也更加棘手。

廣告 更多內容請繼續往下閱讀

布拉什奇克今年5月5日已向Google通報漏洞，但當時一度被認定為非資安問題。因此他決定公開相關資訊，並於10月29日在GitHub釋出概念驗證（PoC）程式碼。事實上， Google於6月15日便已開發修補方案，透過改善異常WAP Push簡訊的處理機制，避免系統反覆當機，並在發現問題後移除異常訊息。

目前修復方案已提交至Android開放原始碼計畫（AOSP），Android 14至Android 17用戶安裝10月安全性補丁後，即可修補這項漏洞。不過，Android 12、Android 13已停止官方技術支援，若手機品牌廠商未額外推送更新，將持續面臨漏洞威脅，建議舊機用戶考慮汰換設備。

 

 

更多鏡週刊報導
花150元抱走1000萬！5、6月4張千萬發票沒人領　逾期就充公
老闆娘車禍離世！台南名店「阿明豬心冬粉」無限期停業　老顧客不捨：從小吃到大
沈伯洋邀「加LINE再約戰」！　蔣萬安：開放態度