論文の概要: Keep Me Updated: An Empirical Study of Proprietary Vendor Blobs in Android Firmware

• arxiv url: http://arxiv.org/abs/2410.11075v1
• Date: Mon, 14 Oct 2024 20:36:12 GMT
• ステータス: 翻訳完了
• システム内更新日: 2024-10-16 14:03:29.720062
• Title: Keep Me Updated: An Empirical Study of Proprietary Vendor Blobs in Android Firmware
• Title（参考訳）: 最新情報:Androidファームウェアのプロプライエタリベンダーブロブに関する実証研究
• Authors: Elliott Wen, Jiaxing Shen, Burkhard Wuensche,
• Abstract要約: 2018年1月から2024年4月までに13,000以上のAndroidファームウェアのリリースを調査した。 ファームウェアリリースの約82%は、古いGPUブロブ(最大1,281日)を含んでいる。 15年以上前にリリースされた古いLLVMコアライブラリにも、かなりの数のブロブが依存している。
• 参考スコア（独自算出の注目度）: 2.124303952404961
• License:
• Abstract: Despite extensive security research on various Android components, such as kernel or runtime, little attention has been paid to the proprietary vendor blobs within Android firmware. In this paper, we conduct a large-scale empirical study to understand the update patterns and assess the security implications of vendor blobs. We specifically focus on GPU blobs because they are loaded into every process for displaying graphics user interfaces and can affect the entire system's security. We examine over 13,000 Android firmware releases between January 2018 and April 2024. Our results reveal that device manufacturers often neglect vendor blob updates. About 82\% of firmware releases contain outdated GPU blobs (up to 1,281 days). A significant number of blobs also rely on obsolete LLVM core libraries released more than 15 years ago. To analyze their security implications, we develop a performant fuzzer that requires no physical access to mobile devices. We discover 289 security and behavioral bugs within the blobs. We also present a case study demonstrating how these vulnerabilities can be exploited via WebGL. This work underscores the critical security concerns associated with vulnerable vendor blobs and emphasizes the urgent need for timely updates from device manufacturers.
• Abstract（参考訳）: カーネルやランタイムなど、さまざまなAndroidコンポーネントに関する広範なセキュリティ調査にもかかわらず、Androidファームウェア内のプロプライエタリなベンダにはほとんど注意が払われていない。 本稿では,更新パターンを理解し,ベンダーブロブのセキュリティへの影響を評価するための大規模な実証的研究を行う。 グラフィックスユーザインターフェースを表示するすべてのプロセスにロードされ、システム全体のセキュリティに影響を与える可能性があるため、特にGPUブロブに重点を置いています。 2018年1月から2024年4月までに13,000以上のAndroidファームウェアのリリースを調査した。 われわれの結果によると、デバイスメーカーはベンダーのブロブアップデートを無視することが多い。 ファームウェアリリースの約82\%は、時代遅れのGPUブロブ(最大1,281日)を含んでいる。 15年以上前にリリースされた古いLLVMコアライブラリにも、かなりの数のブロブが依存している。 セキュリティへの影響を分析するため,モバイルデバイスへの物理的アクセスを必要としない高性能ファジィザを開発した。 ブロブ内に289のセキュリティと行動上のバグが見つかりました。 また、これらの脆弱性がWebGLを介してどのように悪用されるかを示すケーススタディも提示する。 この作業は、脆弱なベンダーのブロブに関連する重要なセキュリティ上の懸念を浮き彫りにし、デバイスメーカーからの緊急アップデートの必要性を強調している。

関連論文リスト

• The Impact of SBOM Generators on Vulnerability Assessment in Python: A Comparison and a Novel Approach [56.4040698609393]
  Software Bill of Materials (SBOM) は、ソフトウェア構成における透明性と妥当性を高めるツールとして推奨されている。 現在のSBOM生成ツールは、コンポーネントや依存関係を識別する際の不正確さに悩まされることが多い。 提案するPIP-sbomは,その欠点に対処する新しいピップインスパイアされたソリューションである。
  論文  参考訳（メタデータ） (2024-09-10T10:12:37Z)
• AutoFirm: Automatically Identifying Reused Libraries inside IoT Firmware at Large-Scale [13.107464371236148]
  開発者はしばしばモノのインターネット(IoT)ファームウェアでソフトウェアライブラリを再利用する。 本稿では,IoTファームウェアの再利用ライブラリを大規模に検出する自動ツールであるAutoFirmを提案する。 我々は、IoTファームウェアの再利用ライブラリに関する大規模な実証的研究を行い、6,900以上のファームウェアと2,700以上の異なる脆弱性を調査し、349のオープンソースソフトウェアライブラリから11,300以上の脆弱なバージョンに影響を及ぼす。
  論文  参考訳（メタデータ） (2024-06-18T09:22:32Z)
• A Risk Estimation Study of Native Code Vulnerabilities in Android Applications [1.6078134198754157]
  我々は,Androidアプリケーションのネイティブな部分に関連するリスクスコアを提供する,高速なリスクベースのアプローチを提案する。 多くのアプリケーションには、誤信が潜在的に悪用する可能性のある、よく知られた脆弱性が含まれていることが示されています。
  論文  参考訳（メタデータ） (2024-06-04T06:44:07Z)
• Manifest V3 Unveiled: Navigating the New Era of Browser Extensions [53.288368877654705]
  2020年、Googleは、2023年1月までに以前のバージョン2(V2)を置き換えることを目的として、Manifest Version 3(V3)による拡張開発の変更を発表した。 本稿では,Manifest V3エコシステムを包括的に分析する。
  論文  参考訳（メタデータ） (2024-04-12T08:09:26Z)
• JailbreakBench: An Open Robustness Benchmark for Jailbreaking Large Language Models [123.66104233291065]
  ジェイルブレイク攻撃は、大きな言語モデル(LLM)が有害、非倫理的、またはその他の不快なコンテンツを生成する原因となる。 これらの攻撃を評価することは、現在のベンチマークと評価テクニックの収集が適切に対処していない、多くの課題を提示します。 JailbreakBenchは、以下のコンポーネントを備えたオープンソースのベンチマークである。
  論文  参考訳（メタデータ） (2024-03-28T02:44:02Z)
• An Investigation of Hardware Security Bug Characteristics in Open-Source Projects [4.526103806673449]
  私たちは、バグレポートやバグ修正を含む、人気のあるOpenTitanプロジェクトについて深く掘り下げています。 バグを機能やセキュリティに関連するものとして手動で分類し、セキュリティバグの影響や位置といった特性を分析します。 その結果、OpenTitanのバグの53%が潜在的なセキュリティ上の影響があり、すべてのバグ修正の55%が1つのファイルだけを変更していることがわかった。
  論文  参考訳（メタデータ） (2024-02-01T15:47:01Z)
• SyzTrust: State-aware Fuzzing on Trusted OS Designed for IoT Devices [67.65883495888258]
  我々は、リソース制限されたTrusted OSのセキュリティを検証するための、最初の状態認識ファジィフレームワークであるSyzTrustを紹介する。 SyzTrustはハードウェア支援フレームワークを採用し、IoTデバイス上でTrusted OSを直接ファジングできるようにする。 我々は、Samsung、Tsinglink Cloud、Ali Cloudの3つの主要なベンダーからSyzTrust on Trusted OSを評価した。
  論文  参考訳（メタデータ） (2023-09-26T08:11:38Z)
• Evil from Within: Machine Learning Backdoors through Hardware Trojans [72.99519529521919]
  バックドアは、自動運転車のようなセキュリティクリティカルなシステムの整合性を損なう可能性があるため、機械学習に深刻な脅威をもたらす。 私たちは、機械学習のための一般的なハードウェアアクセラレーターに完全に存在するバックドアアタックを導入します。 我々は,Xilinx Vitis AI DPUにハードウェアトロイの木馬を埋め込むことにより,攻撃の実現可能性を示す。
  論文  参考訳（メタデータ） (2023-04-17T16:24:48Z)
• Analysis of Longitudinal Changes in Privacy Behavior of Android Applications [79.71330613821037]
  本稿では,プライバシに関して,Androidアプリが時間とともにどのように変化してきたかを検討する。 HTTPSの採用、アプリが他のインストール済みアプリのデバイスをスキャンするかどうか、プライバシに敏感なデータに対するパーミッションの使用、ユニークな識別子の使用について検討する。 アプリがアップデートを受け続けるにつれて、プライバシ関連の振る舞いは時間とともに改善され、アプリによって使用されるサードパーティライブラリが、プライバシに関するより多くの問題に責任を負っていることが分かっています。
  論文  参考訳（メタデータ） (2021-12-28T16:21:31Z)
• A Survey of Machine Learning Algorithms for Detecting Malware in IoT Firmware [0.0]
  本稿では、IoTファームウェアの分類に機械学習アルゴリズムを多数使用し、最高のパフォーマンスモデルについて報告する。 ConvolutionalやFully Connected Neural Networksといったディープラーニングアプローチも検討されている。
  論文  参考訳（メタデータ） (2021-11-03T17:55:51Z)
• Android Malware Category and Family Detection and Identification using Machine Learning [0.0]
  本稿では,Android マルウェアの動的解析のための2つの機械学習手法を提案する。 提案手法は,99%以上の精度でAndroid Malware Category検出を実現し,99%以上の精度でAndroid Malware Family検出を実現している。
  論文  参考訳（メタデータ） (2021-07-05T10:48:40Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。