高通已发布针对这些漏洞的补丁，但谷歌迄今为止仅在其 Android 安全更新中包含了其中三个漏洞
数亿台基于高通芯片组的 Android 设备可能至少存在四个严重漏洞中的一个，这些漏洞可让非特权应用程序接管它们。
这四个漏洞是由 Check Point Software Technologies 的安全研究员 Adam Donenfeld 于周日在拉斯维加斯举行的 DEF CON 安全会议上提出的。这些漏洞是在 2 月至 4 月间报告给高通的，高通将漏洞归类为高危漏洞后发布了修复程序。
不幸的是，这并不意味着所有设备都已受到保护。由于 Android 生态系统的碎片化，许多设备运行的是旧版 Android，不再接收固件更新，或者要等上几个月才能收到修复。
即便是每月都会为其 Nexus 系列 Android 手机和平板电脑发布安全补丁的谷歌也并未修复所有漏洞。
这些漏洞被统称为 QuadRooter，因为一旦被利用，攻击者将获得 root 权限 — 这是 Android 等 Linux 系统上的最高权限。这些漏洞分别被标记为 CVE-2016-2059、CVE-2016-2503、CVE-2016-2504 和 CVE-2016-5340，它们位于高通向设备制造商提供的各种驱动程序中。
高通产品安全计划工程副总裁亚历克斯·甘特曼 (Alex Gantman) 在一封电子邮件声明中表示，高通在 4 月至 7 月期间向客户和合作伙伴发布了针对这些漏洞的补丁。
与此同时，谷歌目前只通过每月针对 Nexus 设备的 Android 安全公告发布了三个补丁。谷歌发布的安全更新会提前与手机制造商共享，并发布到 Android 开源项目 (AOSP)。
运行 Android 6.0 (Marshmallow) 且补丁级别为 8 月 5 日的设备应能抵御 CVE-2016-2059、CVE-2016-2503 和 CVE-2016-2504 漏洞。运行 4.4.4 (KitKat)、5.0.2 和 5.1.1 (Lollipop) 且包含 8 月 5 日补丁的 Android 设备也应具有 CVE-2016-2503 和 CVE-2016-2504 补丁，但可能容易受到 CVE-2016-2059 漏洞版本的攻击，由于已有缓解措施，Google 已将该漏洞标记为低严重性。
第四个漏洞 CVE-2016-5340 仍未得到谷歌修补，但设备制造商可以直接从高通的 Code Aurora 开源项目获取修复程序。
谷歌的一位代表通过电子邮件表示：“这个漏洞将在即将发布的 Android 安全公告中得到解决，但 Android 合作伙伴可以参考高通提供的公开补丁，尽快采取行动。”谷歌表示，利用这四个漏洞中的任何一个都会导致用户下载恶意应用程序。
该代表补充道：“我们的验证应用程序和安全网保护功能有助于识别、阻止和删除利用此类漏洞的应用程序。”
Check Point 表示，确实，利用这些漏洞只能通过恶意应用程序来实现，而不能直接通过浏览、电子邮件或短信等远程攻击媒介来实现，但这些恶意应用程序不需要任何特权。
Check Point 的研究人员和谷歌对 CVE-2016-2059 的严重性意见不一。高通将该漏洞评为高危，而谷歌将其评为低危，因为谷歌表示可以通过 SELinux 缓解该漏洞。
SELinux 是一个内核扩展，它通过强制执行访问控制来使某些漏洞的利用变得更加困难。从 Android 4.3 (Jelly Bean) 开始，该机制用于强制执行应用程序沙盒边界。
Check Point 并不认同 Google 认为 SELinux 可以缓解这一缺陷的说法。在 DEF CON 大会上，Donenfeld 发表了演讲，他展示了 CVE-2016-2059 漏洞如何将 SELinux 从强制模式切换为宽容模式，从而有效地禁用其保护。
很难确定哪些设备存在漏洞，因为有些制造商可能会等待 Google 发布缺失的补丁，然后再发布自己的固件更新，而其他制造商可能会直接从高通获取。为了帮助识别易受攻击的设备，Check Point 发布了一款名为QuadRooter 扫描仪在 Google Play 上，用户可以检查他们的设备是否受到这四个缺陷的影响。
