Pixel 10内核零点击漏洞修复：5行代码安全加固方案
Google Project Zero团队于5月13日发布了一份详细的技术分析报告，完整揭露了针对Pixel 10设备的“零点击”提权攻击链。该高危漏洞已在今年2月的安全更新中得到修复。
整个攻击链逻辑严密：攻击者首先利用并调整了一个已知的Dolby音频解码器漏洞，随后借助Tensor G5芯片VPU驱动中的一个设计缺陷——该缺陷允许将任意物理内存映射到用户空间——最终实现了对内核的任意读写，并获取了内核级代码执行权限。
攻击链的第一阶段，实质上是研究人员对其今年1月针对Pixel 9所发布的三项研究的延伸。他们利用了Dolby Unified Decoder库中的一个漏洞（编号CVE-2025-54957）。需要指出的是，这个负责处理Dolby Digital音频格式的库应用范围极广，不仅限于安卓系统，也集成于iOS、Windows及各类流媒体设备中。
关键风险点在于，许多安卓设备（包括Pixel系列）具备一项特性：在用户点开消息前，系统便会自动为Google Messages收到的音频消息生成文字转写。这意味着，一段精心构造的恶意音频文件一旦发送至目标手机，即可在用户无任何交互、完全无感知的情况下触发漏洞。这正是“零点击”攻击难以防范的核心所在。
由于Pixel 10采用了名为RET PAC的安全增强技术，攻击者原先可用于覆盖的__stack_chk_fail函数已失效。因此，研究团队调整了策略，改为覆盖dap_cpdp_init初始化代码来实现目标。
进入第二个提权环节，情况有所不同。在Pixel 9上用于提权的BigWa ve A V1解码驱动，在Pixel 10上已被弃用。研究人员Jenkins和Jann Horn转而审查Tensor G5芯片的VPU驱动，仅花费两小时便发现了一个严重漏洞。
该驱动的根本问题在于，它未采用标准的V4L2（Video for Linux）API，而是将硬件接口更直接地暴露给用户态程序，甚至允许映射MMIO（内存映射输入输出）寄存器区域。这种设计本身便显著扩大了攻击面。
具体漏洞存在于驱动的mmap处理逻辑中：它根据VMA（虚拟内存区域）的大小调用remap_pfn_range函数，却未将映射范围严格限制在硬件寄存器区域本身的大小之内。其后果是，调用者可将任意数量的物理内存映射到用户态，理论上甚至可覆盖整个内核镜像。
对攻击者而言，这近乎一条“坦途”。报告指出，Pixel设备的内核始终位于固定的物理地址，攻击者可直接推算出其相对于mmap返回地址的偏移，无需再进行额外的内存扫描来定位内核。
Jenkins透露，实现内核任意读写的核心代码仅需5行，完整的漏洞利用程序在不到一天内即编写完成。这恰恰表明，问题不仅在于某个孤立漏洞，更在于驱动层的基础安全防护机制，似乎已远远落后于系统处理多媒体内容的需求与速度。
在修复时间线上，Jenkins于2025年11月24日向Google报告了此VPU驱动漏洞。71天后，即2026年2月，Google在当月的Pixel安全公告中完成了修复。
至于Dolby相关漏洞的利用，主要影响安全补丁级别（SPL）为2025年12月或更早的设备。Pixel 10用户可通过进入“设置” → “关于手机” → “Android安全更新”来查看当前版本，确认设备是否已受到保护。
