Project Zero: een 0-click exploit-chain op de Pixel 9

Niet elke digest-post is een patch-melding; onderzoek van topkwaliteit hoort er ook in. Google Project Zero publiceerde een meerdelige serie over een 0-click exploit-chain tegen de Pixel 9.

Wat maakt dit bijzonder

Een 0-click aanval vereist geen enkele gebruikersinteractie — geen link aanklikken, geen bestand openen. Dat is het hoogste niveau van impact, want het omzeilt alle “klik niet op verdachte links”-adviezen.

• Part 1 — “Decoding Dolby”: de chain begint bij het parsen/decoderen van Dolby-audio, een klassiek aanvalsoppervlak (mediacodecs verwerken niet-vertrouwde input diep in het systeem).
• Part 3 — “Where do we go from here?”: Project Zero trekt bredere conclusies over het Android-ecosysteem — de moeite die het kostte om deze bugs te vinden, te melden en te exploiteren, en welke structurele verbeteringen de lat voor aanvallers verhogen.

Waarom dit relevant is

Direct raakt dit deze server niet (geen Android in de stack). Maar het patroon is universeel en leerzaam: mediacodecs en parsers die niet-vertrouwde input verwerken zijn een geliefd 0-click-oppervlak — of dat nu een telefoon, een mailclient of een image-library op een server is. Denk aan de libexif-image-parser-bugs uit de Ubuntu-USN’s van deze zelfde periode.

Les

Beperk waar mogelijk het parsen van niet-vertrouwde, complexe formaten; houd media-/ parser-bibliotheken actueel; en waardeer 0-click-onderzoek — het legt bloot waar de echt gevaarlijke klasse zit.