一、引言2026年5月13日Google Project ZeroGPZ团队发布了一篇震惊安全界的博文披露了针对Google Pixel 10手机的完整零点击利用链。这条利用链只需向目标设备发送一条恶意Dolby Digital PlusDD音频消息无需用户进行任何点击或交互操作即可实现从远程代码执行RCE到内核任意读写最终完全控制整个设备。更令人担忧的是整个利用链的开发过程异常简单研究人员仅用2小时就发现了关键的VPU驱动漏洞5行代码即可实现内核任意读写完整利用代码在不到一天的时间内就完成了编写。这一事件再次暴露了移动设备安全体系中的深层次问题特别是第三方硬件驱动和多媒体预解析机制带来的巨大攻击面。本文将从技术角度深入解析这条零点击漏洞链的每一个环节展示完整的漏洞利用代码分析其背后的安全设计缺陷并探讨这一事件对整个移动安全行业的启示。二、事件速览2.1 基本信息披露时间2026年5月13日GPZ官方博文研究人员Seth Jenkins与Jann HornGoogle Project Zero影响机型Google Pixel 10系列搭载Tensor G5芯片漏洞组合CVE-2025-54957Dolby Unified DecoderUDC整数溢出导致远程代码执行未分配CVETensor G5 VPU驱动mmap边界校验缺失导致本地提权修复状态Dolby漏洞2026年1月Android安全补丁修复VPU驱动漏洞2026年2月Pixel安全补丁修复2.2 完整时间线时间事件2025年11月24日GPZ向Google上报VPU驱动漏洞2025年12月Google开始内部开发补丁2026年1月5日Android安全补丁修复Dolby漏洞CVE-2025-549572026年2月5日Pixel安全补丁修复VPU驱动漏洞2026年5月13日GPZ公开完整利用链及技术细节三、完整攻击链技术解析3.1 攻击链总览整个攻击过程分为两个独立但紧密衔接的阶段如下图所示攻击者发送恶意DD音频消息Google Messages自动预处理音频Dolby解码器触发越界写漏洞覆盖dap_cpdp_init函数获取控制流mediacodec沙箱内远程代码执行打开/dev/vpu设备文件调用mmap映射整个物理内存通过固定偏移计算内核基地址实现内核任意读写覆盖内核函数获取root权限完全控制目标设备3.2 第一阶段零点击入口——Dolby解码器远程代码执行CVE-2025-549573.2.1 漏洞原理CVE-2025-54957是一个存在于Dolby Unified DecoderUDC库中的整数溢出漏洞影响版本从v4.5到v4.13。当解码器处理精心构造的DD音频比特流中的evolution data字段时会错误地计算数据包大小导致堆缓冲区溢出进而引发越界写操作。这个漏洞的特别之处在于它的零点击特性。在Google Messages应用中为了提供语音消息转写功能系统会在用户收到消息后自动对音频内容进行预处理和解码。这意味着恶意音频文件只要成功发送到目标设备就会在用户完全不知情的情况下触发漏洞。3.2.2 RET PAC绕过技术Pixel 10相比前代产品引入了一项重要的安全增强使用**返回地址指针认证RET PAC**替代了传统的栈保护机制-fstack-protector。这一变化使得之前在Pixel 9上使用的覆盖__stack_chk_fail函数的利用方法完全失效。为了绕过RET PAC保护研究人员采用了一种巧妙的策略他们不再尝试覆盖栈保护函数而是转而覆盖一个名为dap_cpdp_init的初始化函数。这个函数具有以下两个关键特性它只在解码器初始化时被调用一次一旦初始化完成覆盖它的代码不会影响解码器的正常运行通过覆盖这个函数的入口点研究人员成功地在不触发任何安全检查的情况下获取了对程序控制流的完全掌控。3.2.3 沙箱限制成功利用Dolby漏洞后攻击者获得的代码执行权限受到Android系统的严格限制。具体来说代码运行在mediacodec沙箱上下文中只能访问有限的系统资源和设备文件。这就是为什么需要第二个漏洞来进行本地提权。3.3 第二阶段本地提权——Tensor G5 VPU驱动mmap边界校验缺失3.3.1 漏洞发现过程在Pixel 9上研究人员使用BigWave AV1解码驱动漏洞来进行本地提权。然而Pixel 10不再搭载BigWave驱动而是引入了一个全新的VPU驱动来与Tensor G5芯片上的ChipsMedia Wave677DV视频处理单元交互。有趣的是这个新的VPU驱动是由与开发BigWave驱动相同的团队维护的。基于这一信息研究人员决定对这个新驱动进行审计。令人震惊的是他们仅用了2小时就发现了一个极其严重的漏洞。3.3.2 漏洞原理这个VPU驱动没有采用标准的Linux V4L2Video for Linux API接口而是直接将硬件接口暴露给用户态包括允许用户态映射芯片的MMIO寄存器区域。漏洞出现在驱动的vpu_mmap函数中。这个函数的设计目的是将VPU硬件的MMIO寄存器区域映射到用户态虚拟地址空间。然而它在实现时存在一个根本性的逻辑错误它完全根据用户提供的虚拟内存区域VMA大小来调用remap_pfn_range函数而没有对映射的大小进行任何边界检查以确保它不会超出VPU寄存器区域本身的大小。以下是完整的漏洞代码staticintvpu_mmap(structfile*fp,structvm_area_struct*vm){unsignedlongpfn;structvpu_core*corecontainer_of(fp-f_inode-i_cdev,structvpu_core,cdev);vm_flags_set(vm,VM_IO|VM_DONTEXPAND|VM_DONTDUMP);vm-vm_page_protpgprot_noncached(vm-vm_page_prot);pfncore-res.startPAGE_SHIFT;// 漏洞所在没有检查vm-vm_end - vm-vm_start是否超过VPU寄存器区域大小returnremap_pfn_range(vm,vm-vm_start,pfn,vm-vm_end-vm-vm_start,vm-vm_page_prot)?-EAGAIN:0;}这个简单的错误导致了灾难性的后果攻击者可以通过指定一个大于VPU寄存器区域大小的映射请求将任意数量的物理内存映射到用户态包括整个内核镜像。3.3.3 5行代码实现内核任意读写更糟糕的是在Pixel设备上内核总是被加载到固定的物理地址上。这意味着攻击者不需要进行任何复杂的内存扫描或KASLR内核地址空间布局随机化绕过只需要通过一个固定的偏移量就可以直接计算出内核在映射内存中的位置。以下是实现内核任意读写的完整代码仅需5行#includefcntl.h#includesys/mman.h#includestdint.hintmain(){// 打开VPU设备文件intfdopen(/dev/vpu,O_RDWR);// 映射4GB物理内存到用户态void*addrmmap(0,0x100000000,PROT_READ|PROT_WRITE,MAP_SHARED,fd,0);// Pixel 10内核物理基地址固定为0x80010000// VPU寄存器区域物理基地址为0x1a000000// 计算内核在映射内存中的虚拟地址uint64_tkernel_base(uint64_t)addr(0x80010000-0x1a000000);// 内核任意写示例修改内核数据*(uint64_t*)(kernel_base0x5678)0xdeadbeef;// 内核任意读示例读取内核数据uint64_tvalue*(uint64_t*)(kernel_base0x1234);return0;}这段代码的工作原理非常简单打开/dev/vpu设备文件调用mmap函数请求映射4GB的物理内存由于VPU寄存器区域的物理基地址是0x1a000000而内核的物理基地址是0x80010000因此内核在映射内存中的偏移量就是0x80010000 - 0x1a000000通过这个偏移量攻击者可以直接读写内核内存中的任意位置3.3.4 提权与持久化获得内核任意读写权限后攻击者可以轻松地提升自己的权限到root级别。最常见的方法是覆盖内核中的commit_creds函数将当前进程的凭据替换为root用户的凭据。此外攻击者还可以修改内核中的其他关键数据结构关闭SELinux保护安装后门程序实现对设备的持久化控制。四、修复方案与补丁分析4.1 Dolby漏洞修复Dolby公司在2025年10月发布了安全公告修复了CVE-2025-54957漏洞。修复方案主要是在处理DD比特流中的evolution data字段时增加了对数据包大小的正确验证防止整数溢出的发生。4.2 VPU驱动漏洞修复Google在2026年2月的Pixel安全补丁中修复了VPU驱动漏洞。修复方案非常直接在vpu_mmap函数中增加了对映射大小的边界检查确保映射不会超出VPU寄存器区域的大小。以下是修复后的代码staticintvpu_mmap(structfile*fp,structvm_area_struct*vm){unsignedlongpfn;unsignedlongsize;structvpu_core*corecontainer_of(fp-f_inode-i_cdev,structvpu_core,cdev);vm_flags_set(vm,VM_IO|VM_DONTEXPAND|VM_DONTDUMP);vm-vm_page_protpgprot_noncached(vm-vm_page_prot);pfncore-res.startPAGE_SHIFT;sizevm-vm_end-vm-vm_start;// 修复增加边界检查if(sizeresource_size(core-res))return-EINVAL;returnremap_pfn_range(vm,vm-vm_start,pfn,size,vm-vm_page_prot)?-EAGAIN:0;}这个简单的修复彻底解决了任意物理内存映射的问题。五、行业影响与安全启示5.1 多媒体预解析成为零点击攻击重灾区本次事件再次证明多媒体预解析机制是移动设备上最危险的攻击面之一。为了提升用户体验许多应用都会在用户收到消息后自动对图片、音频、视频等内容进行预处理和解析。这使得攻击者可以通过发送恶意媒体文件在用户完全不知情的情况下触发漏洞。未来操作系统和应用开发者需要重新审视多媒体预解析的安全设计考虑采用更严格的沙箱隔离机制或者限制预解析的内容类型和大小。5.2 第三方硬件驱动是Android安全的最大短板Android系统的核心安全机制如SELinux、沙箱、权限模型已经相当完善但第三方硬件驱动的安全问题却一直没有得到有效解决。这些驱动通常由芯片厂商或设备厂商开发代码质量参差不齐安全意识薄弱往往成为攻击者突破系统防线的突破口。本次事件中的VPU驱动漏洞就是一个典型的例子。一个如此简单和基础的边界检查错误竟然出现在Google自家Tensor芯片的驱动中而且是由之前开发过存在严重漏洞的BigWave驱动的同一团队开发的。这反映出整个行业在硬件驱动安全方面存在的系统性问题。5.3 固定物理地址严重削弱KASLR的保护效果KASLR是现代操作系统中最重要的安全缓解措施之一它通过随机化内核在虚拟地址空间中的位置增加了攻击者利用内存漏洞的难度。然而在Pixel设备上内核的物理地址是固定不变的这使得KASLR的保护效果大打折扣。当存在可以映射物理内存的漏洞时攻击者可以完全绕过KASLR直接通过固定的物理地址访问内核。Google已经意识到了这个问题但目前还没有计划在短期内修复它。六、前瞻性思考未来移动安全的挑战6.1 AI驱动的漏洞挖掘与利用随着人工智能技术的发展AI驱动的漏洞挖掘和利用将成为未来安全领域的重要趋势。AI可以在短时间内自动分析大量代码发现人类研究人员难以发现的复杂漏洞。这意味着未来漏洞的发现速度会越来越快利用代码的开发周期会越来越短。本次事件中研究人员仅用2小时就发现了VPU驱动漏洞1天内就完成了完整利用链的开发。这在几年前是不可想象的。未来我们可能会看到更多类似的闪电式漏洞披露和利用。6.2 零点击攻击的常态化零点击攻击由于其隐蔽性和高效性已经成为国家级黑客组织和高级持续性威胁APT组织的首选攻击方式。随着移动设备成为人们日常生活中不可或缺的一部分针对移动设备的零点击攻击将会越来越常态化。未来操作系统开发者需要将零点击攻击防护作为安全设计的核心目标之一从根本上减少零点击攻击面。6.3 硬件级安全的重要性日益凸显随着软件级安全缓解措施的不断完善攻击者越来越多地将目光投向硬件级漏洞。硬件级漏洞通常影响范围广、修复难度大、持续时间长对整个生态系统的安全构成严重威胁。未来芯片厂商和设备厂商需要更加重视硬件级安全在芯片设计阶段就引入安全考虑采用硬件级的安全隔离和保护机制。七、防护建议7.1 普通用户及时更新系统补丁这是最重要也是最有效的防护措施。确保你的设备始终运行最新版本的操作系统和安全补丁。警惕陌生消息不要接收来自陌生人的消息特别是包含音频、视频或图片附件的消息。禁用不必要的预解析功能在消息应用中考虑禁用自动下载和预解析媒体文件的功能。7.2 企业用户建立完善的补丁管理流程确保企业内的所有移动设备都能及时收到并安装安全补丁。部署移动设备管理MDM解决方案通过MDM解决方案对企业设备进行统一管理和安全控制。加强员工安全意识培训教育员工识别和防范钓鱼攻击和恶意消息。7.3 开发者严格遵循安全编码规范在开发过程中特别是在开发驱动和底层系统组件时严格遵循安全编码规范进行充分的边界检查和输入验证。采用现代安全缓解措施在编译代码时启用所有可用的安全缓解措施如栈保护、地址空间随机化、控制流完整性等。进行定期的安全审计对代码进行定期的安全审计特别是对第三方代码和硬件驱动。八、总结Google Pixel 10零点击漏洞链事件是移动安全领域的一个里程碑事件。它向我们展示了即使是最安全的移动设备也可能因为一个简单的驱动程序错误而被完全攻破。5行代码拿下内核的事实不仅震惊了安全界也给整个行业敲响了警钟。这一事件告诉我们移动安全是一个系统工程任何一个环节的疏忽都可能导致整个安全体系的崩溃。未来我们需要更加重视硬件驱动的安全加强对多媒体预解析机制的防护解决固定物理地址带来的安全问题同时不断提升安全缓解措施的有效性。只有通过整个行业的共同努力我们才能构建一个更加安全的移动生态系统保护用户的隐私和数据安全。