Pixel 10: Google рассказала, как взломать свой же телефон без единого клика

Команда Project Zero, известная тем, что находит дыры там, где их быть не должно, выпустила подробный разбор цепочки 0-click эксплойтов для Pixel 10. Если вы думали, что ваш смартфон — это неприступная крепость, то зря: оказывается, достаточно отправить специально сформированное MMS-сообщение, и злоумышленник получает полный контроль над устройством. Без единого нажатия с вашей стороны.

Как это работает? Всё началось с уязвимости в медиа-процессоре, который обрабатывает входящие изображения. Дальше — классическая эскалация привилегий через баги в ядре и драйверах. Вся цепочка напоминает сборку IKEA: кажется, что деталей много, но если знать последовательность, собирается за пару минут.

Google, конечно, уже выпустила патч в июньском обновлении безопасности. Но мораль тут не в том, чтобы бежать обновляться (хотя это тоже полезно), а в том, что даже самые защищённые устройства уязвимы, если рядом есть исследователь с кофе и свободным вечером.

Разработчикам на заметку: этот эксплойт — отличный повод пересмотреть свою модель угроз. Особенно если вы пишете код для embedded-систем или работаете с медиа-данными. А ещё это напоминание, что безопасность «из коробки» — это миф, и каждый слой защиты требует внимания.

Комментарий студии METABYTE: Мы, конечно, не Project Zero, но если вам нужно, чтобы ваш код был устойчив к атакам не только со стороны случайных MMS, но и к более изощрённым угрозам, — знайте, у нас есть пара тузов в рукаве. И да, мы тоже любим кофе.