<p>根據谷歌 12 月的 Android 安全公告，兩項高嚴重性 Android 漏洞在谷歌發佈修復之前被利用為零日漏洞。</p>
<p>這兩個漏洞分別是 CVE-2025-48633，這是 Android 框架組件中的信息泄露缺陷，以及 CVE-2025-48572，這是同樣在框架組件中的權限提升漏洞。兩者均被評為高嚴重性，谷歌表示，這兩個漏洞 “可能受到有限的、有針對性的利用。”</p>
<p>這兩個漏洞以及另外 105 個安全漏洞都有補丁，因此儘快更新你的 Android 軟件是個好主意。</p>
<p>谷歌沒有提供關於誰在利用這些漏洞的細節，也沒有説明目的，但我們知道商業間諜軟件和政府支持的攻擊者喜歡利用這些類型的移動設備零日漏洞進行竊聽。</p>
<p>這個最新的零日漏洞是在谷歌上個月為一個高嚴重性 Chrome 漏洞發佈緊急補丁之後出現的，該漏洞已經被攻擊者發現並在野外利用。</p>
<p>該漏洞被追蹤為 CVE-2025-13223，是 V8 JavaScript 引擎中的一種類型混淆缺陷，這標誌着今年第七個 Chrome 零日漏洞。所有這些漏洞都已被修復。</p>
<ul>
<li>谷歌 Chrome 漏洞被利用為零日 - 現在修補或面臨系統完全被攻陷的風險</li>
<li>Fortinet 承認在一週內出現第二個零日漏洞</li>
<li>隱秘的瀏覽器擴展在感染 430 萬 Chrome 和 Edge 用户的後門和間諜軟件之前等待了多年</li>
<li>谷歌警告，惡意行為者越來越多地利用企業技術零日漏洞</li>
</ul>
<p>在 Android 12 月補丁馬拉松中，有七個漏洞達到了關鍵嚴重性評級。谷歌表示，這些漏洞中最嚴重的是 CVE-2025-48631，同樣在框架組件中，它 “可能導致遠程拒絕服務，而無需額外的執行權限。”</p>
<p>內核中還有四個關鍵的權限提升漏洞（CVE-2025-48623、CVE-2025-48624、CVE-2025-48637 和 CVE-2025-48638），以及兩個影響高通閉源組件的關鍵漏洞（CVE-2025-47319 和 CVE-2025-47372）。</p>
<p>根據高通的安全公告，CVE-2025-47319 可能允許 “在暴露內部 TA 到 TA 通信 API 到 HLOS 時的信息泄露。” CVE-2025-47372 是一個關鍵的緩衝區溢出缺陷，當一個帶有超大文件的損壞 ELF 圖像在沒有身份驗證的情況下被讀取到緩衝區時發生。</p>
<p>現在就修補這 107 個 Android 設備安全問題 - 因為微軟和其他公司可能會在 12 月 9 日的補丁星期二活動中推送更多更新。®</p>

1 倍做空谷歌 ETF - Direxion

2 倍做多谷歌 ETF - Direxion

<p>谷歌在其 12 月安全公告中披露並修復了兩個高危 Android 零日漏洞，CVE-2025-48633 和 CVE-2025-48572。這些漏洞在修復之前已被利用，谷歌警告稱存在有限的針對性攻擊。此外，還有 105 個其他安全問題已被修復。用户被建議及時更新他們的 Android 軟件。這些漏洞通常被間諜軟件和政府攻擊者利用。七個漏洞被評為嚴重級別，包括 CVE-2025-48631，該漏洞可能導致遠程拒絕服務</p>

<p>Two high-severity Android bugs were exploited as zero-days before Google issued a fix, according to its December Android security bulletin.</p>
<div class="lb-trans"><p>根據谷歌 12 月的 Android 安全公告，兩項高嚴重性 Android 漏洞在谷歌發佈修復之前被利用為零日漏洞。</p>
</div><p>The two vulnerabilities are CVE-2025-48633, an information-disclosure flaw in Android's framework component, and CVE-2025-48572, an elevation-of-privilege bug also in the framework component. Both are ranked high severity, and according to Google, both &#34;may be under limited, targeted exploitation.&#34;</p>
<div class="lb-trans"><p>這兩個漏洞分別是 CVE-2025-48633，這是 Android 框架組件中的信息泄露缺陷，以及 CVE-2025-48572，這是同樣在框架組件中的權限提升漏洞。兩者均被評為高嚴重性，谷歌表示，這兩個漏洞 “可能受到有限的、有針對性的利用。”</p>
</div><p>Both of these – plus an additional 105 security holes – all have patches, so it's a good idea to update your Android software ASAP.</p>
<div class="lb-trans"><p>這兩個漏洞以及另外 105 個安全漏洞都有補丁，因此儘快更新你的 Android 軟件是個好主意。</p>
</div><p>Google didn't provide any details about who is exploiting the vulnerabilities, nor to what end, but we know that commercial spyware and government-sponsored attackers like to exploit these types of mobile device zero-days for snooping purposes.</p>
<div class="lb-trans"><p>谷歌沒有提供關於誰在利用這些漏洞的細節，也沒有説明目的，但我們知道商業間諜軟件和政府支持的攻擊者喜歡利用這些類型的移動設備零日漏洞進行竊聽。</p>
</div><p>This latest zero-day follows an emergency patch that Google issued last month for a high-severity Chrome bug that attackers have already found and exploited in the wild.</p>
<div class="lb-trans"><p>這個最新的零日漏洞是在谷歌上個月為一個高嚴重性 Chrome 漏洞發佈緊急補丁之後出現的，該漏洞已經被攻擊者發現並在野外利用。</p>
</div><p>That vulnerability, tracked as CVE-2025-13223, is a type confusion flaw in the V8 JavaScript engine, and it marked the seventh Chrome zero-day this year. All have since been patched.</p>
<div class="lb-trans"><p>該漏洞被追蹤為 CVE-2025-13223，是 V8 JavaScript 引擎中的一種類型混淆缺陷，這標誌着今年第七個 Chrome 零日漏洞。所有這些漏洞都已被修復。</p>
</div><ul>
<li>Google Chrome bug exploited as an 0-day - patch now or risk full system compromise</li>
<li>Fortinet 'fesses up to second 0-day within a week</li>
<li>Stealthy browser extensions waited years before infecting 4.3M Chrome, Edge users with backdoors and spyware</li>
<li>Miscreants are exploiting enterprise tech zero days more and more, Google warns</li>
</ul>
<div class="lb-trans"><ul>
<li>谷歌 Chrome 漏洞被利用為零日 - 現在修補或面臨系統完全被攻陷的風險</li>
<li>Fortinet 承認在一週內出現第二個零日漏洞</li>
<li>隱秘的瀏覽器擴展在感染 430 萬 Chrome 和 Edge 用户的後門和間諜軟件之前等待了多年</li>
<li>谷歌警告，惡意行為者越來越多地利用企業技術零日漏洞</li>
</ul>
</div><p>Seven bugs achieved a critical-severity rating in the Android December patch marathon. Google says the most serious of these is CVE-2025-48631, also in the framework component, which &#34;could lead to remote denial of service with no additional execution privileges needed.&#34;</p>
<div class="lb-trans"><p>在 Android 12 月補丁馬拉松中，有七個漏洞達到了關鍵嚴重性評級。谷歌表示，這些漏洞中最嚴重的是 CVE-2025-48631，同樣在框架組件中，它 “可能導致遠程拒絕服務，而無需額外的執行權限。”</p>
</div><p>There are also four critical escalation-of-privilege bugs in the kernel (CVE-2025-48623, CVE-2025-48624, CVE-2025-48637, and CVE-2025-48638), plus two critical vulnerabilities (CVE-2025-47319, CVE-2025-47372) affecting Qualcomm closed-source components.</p>
<div class="lb-trans"><p>內核中還有四個關鍵的權限提升漏洞（CVE-2025-48623、CVE-2025-48624、CVE-2025-48637 和 CVE-2025-48638），以及兩個影響高通閉源組件的關鍵漏洞（CVE-2025-47319 和 CVE-2025-47372）。</p>
</div><p>According to Qualcomm's security advisory, CVE-2025-47319 can allow &#34;information disclosure while exposing internal TA-to-TA communication APIs to HLOS.&#34; CVE-2025-47372, a critical buffer overflow flaw, occurs when a corrupted ELF image with an oversized file is read into a buffer without authentication.</p>
<div class="lb-trans"><p>根據高通的安全公告，CVE-2025-47319 可能允許 “在暴露內部 TA 到 TA 通信 API 到 HLOS 時的信息泄露。” CVE-2025-47372 是一個關鍵的緩衝區溢出缺陷，當一個帶有超大文件的損壞 ELF 圖像在沒有身份驗證的情況下被讀取到緩衝區時發生。</p>
</div><p>Get patching on all of these 107 Android device security issues now - because Microsoft and friends will probably push even more updates during this month's Patch Tuesday event on December 9. ®</p>
<div class="lb-trans"><p>現在就修補這 107 個 Android 設備安全問題 - 因為微軟和其他公司可能會在 12 月 9 日的補丁星期二活動中推送更多更新。®</p>
</div>

兩個 Android 零日漏洞已被披露並修復，此外還有 105 個漏洞需要修補