論文の概要: Keep Me Updated: An Empirical Study of Proprietary Vendor Blobs in Android Firmware

• arxiv url: http://arxiv.org/abs/2410.11075v1
• Date: Mon, 14 Oct 2024 20:36:12 GMT
• ステータス: 翻訳完了
• システム内更新日: 2024-10-16 14:03:29.720062
• Title: Keep Me Updated: An Empirical Study of Proprietary Vendor Blobs in Android Firmware
• Title（参考訳）: 最新情報:Androidファームウェアのプロプライエタリベンダーブロブに関する実証研究
• Authors: Elliott Wen, Jiaxing Shen, Burkhard Wuensche,
• Abstract要約: 2018年1月から2024年4月までに13,000以上のAndroidファームウェアのリリースを調査した。 ファームウェアリリースの約82%は、古いGPUブロブ(最大1,281日)を含んでいる。 15年以上前にリリースされた古いLLVMコアライブラリにも、かなりの数のブロブが依存している。
• 参考スコア（独自算出の注目度）: 2.124303952404961
• License:
• Abstract: Despite extensive security research on various Android components, such as kernel or runtime, little attention has been paid to the proprietary vendor blobs within Android firmware. In this paper, we conduct a large-scale empirical study to understand the update patterns and assess the security implications of vendor blobs. We specifically focus on GPU blobs because they are loaded into every process for displaying graphics user interfaces and can affect the entire system's security. We examine over 13,000 Android firmware releases between January 2018 and April 2024. Our results reveal that device manufacturers often neglect vendor blob updates. About 82\% of firmware releases contain outdated GPU blobs (up to 1,281 days). A significant number of blobs also rely on obsolete LLVM core libraries released more than 15 years ago. To analyze their security implications, we develop a performant fuzzer that requires no physical access to mobile devices. We discover 289 security and behavioral bugs within the blobs. We also present a case study demonstrating how these vulnerabilities can be exploited via WebGL. This work underscores the critical security concerns associated with vulnerable vendor blobs and emphasizes the urgent need for timely updates from device manufacturers.
• Abstract（参考訳）: カーネルやランタイムなど、さまざまなAndroidコンポーネントに関する広範なセキュリティ調査にもかかわらず、Androidファームウェア内のプロプライエタリなベンダにはほとんど注意が払われていない。 本稿では,更新パターンを理解し,ベンダーブロブのセキュリティへの影響を評価するための大規模な実証的研究を行う。 グラフィックスユーザインターフェースを表示するすべてのプロセスにロードされ、システム全体のセキュリティに影響を与える可能性があるため、特にGPUブロブに重点を置いています。 2018年1月から2024年4月までに13,000以上のAndroidファームウェアのリリースを調査した。 われわれの結果によると、デバイスメーカーはベンダーのブロブアップデートを無視することが多い。 ファームウェアリリースの約82\%は、時代遅れのGPUブロブ(最大1,281日)を含んでいる。 15年以上前にリリースされた古いLLVMコアライブラリにも、かなりの数のブロブが依存している。 セキュリティへの影響を分析するため,モバイルデバイスへの物理的アクセスを必要としない高性能ファジィザを開発した。 ブロブ内に289のセキュリティと行動上のバグが見つかりました。 また、これらの脆弱性がWebGLを介してどのように悪用されるかを示すケーススタディも提示する。 この作業は、脆弱なベンダーのブロブに関連する重要なセキュリティ上の懸念を浮き彫りにし、デバイスメーカーからの緊急アップデートの必要性を強調している。

関連論文リスト

• Vulnerability, Where Art Thou? An Investigation of Vulnerability Management in Android Smartphone Chipsets [2.1959918957023743]
  本稿は,Androidエコシステムにおけるスマートフォンチップセットの脆弱性管理の現状に関する実証的研究である。 我々は、主要な4つのチップセットメーカーの437のチップセットモデルと6,866のスマートフォンモデルに影響を及ぼす3,676個のチップセットの脆弱性の統一された知識ベースを作成します。 単一の脆弱性が数百から数千の異なるスマートフォンモデルに影響を与えることがよくあります。
  論文  参考訳（メタデータ） (2024-12-09T15:04:50Z)
• Discovery of Timeline and Crowd Reaction of Software Vulnerability Disclosures [47.435076500269545]
  Apache Log4Jはリモートコード実行攻撃に対して脆弱であることが判明した。 35,000以上のパッケージが最新バージョンでLog4Jライブラリをアップデートせざるを得なかった。 ソフトウェアベンダが脆弱性のないバージョンをリリースするたびに、ソフトウェア開発者がサードパーティのライブラリを更新するのは、事実上妥当です。
  論文  参考訳（メタデータ） (2024-11-12T01:55:51Z)
• The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach [56.4040698609393]
  Software Bill of Materials (SBOM) は、ソフトウェア構成における透明性と妥当性を高めるツールとして推奨されている。 現在のSBOM生成ツールは、コンポーネントや依存関係を識別する際の不正確さに悩まされることが多い。 提案するPIP-sbomは,その欠点に対処する新しいピップインスパイアされたソリューションである。
  論文  参考訳（メタデータ） (2024-09-10T10:12:37Z)
• AutoFirm: Automatically Identifying Reused Libraries inside IoT Firmware at Large-Scale [13.107464371236148]
  開発者はしばしばモノのインターネット(IoT)ファームウェアでソフトウェアライブラリを再利用する。 本稿では,IoTファームウェアの再利用ライブラリを大規模に検出する自動ツールであるAutoFirmを提案する。 我々は、IoTファームウェアの再利用ライブラリに関する大規模な実証的研究を行い、6,900以上のファームウェアと2,700以上の異なる脆弱性を調査し、349のオープンソースソフトウェアライブラリから11,300以上の脆弱なバージョンに影響を及ぼす。
  論文  参考訳（メタデータ） (2024-06-18T09:22:32Z)
• A Risk Estimation Study of Native Code Vulnerabilities in Android Applications [1.6078134198754157]
  我々は,Androidアプリケーションのネイティブな部分に関連するリスクスコアを提供する,高速なリスクベースのアプローチを提案する。 多くのアプリケーションには、誤信が潜在的に悪用する可能性のある、よく知られた脆弱性が含まれていることが示されています。
  論文  参考訳（メタデータ） (2024-06-04T06:44:07Z)
• Manifest V3 Unveiled: Navigating the New Era of Browser Extensions [53.288368877654705]
  2020年、Googleは、2023年1月までに以前のバージョン2(V2)を置き換えることを目的として、Manifest Version 3(V3)による拡張開発の変更を発表した。 本稿では,Manifest V3エコシステムを包括的に分析する。
  論文  参考訳（メタデータ） (2024-04-12T08:09:26Z)
• JailbreakBench: An Open Robustness Benchmark for Jailbreaking Large Language Models [123.66104233291065]
  ジェイルブレイク攻撃は、大きな言語モデル(LLM)が有害、非倫理的、またはその他の不快なコンテンツを生成する原因となる。 これらの攻撃を評価することは、現在のベンチマークと評価テクニックの収集が適切に対処していない、多くの課題を提示します。 JailbreakBenchは、以下のコンポーネントを備えたオープンソースのベンチマークである。
  論文  参考訳（メタデータ） (2024-03-28T02:44:02Z)
• SyzTrust: State-aware Fuzzing on Trusted OS Designed for IoT Devices [67.65883495888258]
  我々は、リソース制限されたTrusted OSのセキュリティを検証するための、最初の状態認識ファジィフレームワークであるSyzTrustを紹介する。 SyzTrustはハードウェア支援フレームワークを採用し、IoTデバイス上でTrusted OSを直接ファジングできるようにする。 我々は、Samsung、Tsinglink Cloud、Ali Cloudの3つの主要なベンダーからSyzTrust on Trusted OSを評価した。
  論文  参考訳（メタデータ） (2023-09-26T08:11:38Z)
• Analysis of Longitudinal Changes in Privacy Behavior of Android Applications [79.71330613821037]
  本稿では,プライバシに関して,Androidアプリが時間とともにどのように変化してきたかを検討する。 HTTPSの採用、アプリが他のインストール済みアプリのデバイスをスキャンするかどうか、プライバシに敏感なデータに対するパーミッションの使用、ユニークな識別子の使用について検討する。 アプリがアップデートを受け続けるにつれて、プライバシ関連の振る舞いは時間とともに改善され、アプリによって使用されるサードパーティライブラリが、プライバシに関するより多くの問題に責任を負っていることが分かっています。
  論文  参考訳（メタデータ） (2021-12-28T16:21:31Z)
• A Survey of Machine Learning Algorithms for Detecting Malware in IoT Firmware [0.0]
  本稿では、IoTファームウェアの分類に機械学習アルゴリズムを多数使用し、最高のパフォーマンスモデルについて報告する。 ConvolutionalやFully Connected Neural Networksといったディープラーニングアプローチも検討されている。
  論文  参考訳（メタデータ） (2021-11-03T17:55:51Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。