研究者公开 Android ResourcePoison 漏洞利用

安全研究者 Michal Bednarski 公开了名为 ResourcePoison 的 Android 漏洞利用思路与 PoC。他称，RemoteViews 中的 mApplication 字段经 Parcel 序列化后可来自远程进程，而 LoadedApk.checkAndUpdateApkPaths() 会用该字段更新全局缓存的 LoadedApk，从而替换新建 Activity 的 Resources，影响资源与代码路径。 Bednarski 称，应用可通过通知向 SystemUI 传递 RemoteViews，其利用应用申请了 POST_NOTIFICATIONS 权限；但利用要成功，还需满足 mDefaultClassLoader 为 null 这一条件。 该问题对应的修复编号为 CVE-2025-22441。上述效果来自研究者自述，报道未说明哪些 Android 版本或设备受影响。

AI 根据报道生成 · 44 分钟前更新

还没有足够的连续观测数据，暂不绘制趋势。