[轉載]Android被曝重大漏洞！95%設備中槍

PCM.DSD

以色列移動資訊安全公司Zimperium研究人員約舒亞•德雷克(JoshuaDrake)在Android系統中發現了多處安全漏洞，影響當前約95%的Android設備。只需簡單的一條彩信，黑客就可能完全控制用戶手機。

德雷克在Android平臺的核心組成部分Stagefright中發現了多處漏洞，Stagefright主要用來處理、播放和記錄多媒體檔。其中一些漏洞允許黑客遠端執行惡意代碼，只需用戶接收一條彩信(MMS)，通過流覽器下載一個特定視頻檔，或者打開一個嵌入多媒體內容的網頁，黑客就可以發動攻擊。

德雷克還稱，在其他許多情況下，黑客也可能對用戶發動攻擊，因為只要Android平臺接收到任何來源的媒體檔，都要通過Stagefright框架來處理。

Stagefright不只是用來播放媒體檔的，還能自動產生縮略圖(thumbnail)，或者從視頻或音頻檔中抽取元資料，如長度、高度、寬度、幀頻、頻道和其他類似資訊。這意味著無需用戶執行一些惡意多媒體檔，只要複製這些檔，黑客即可利用Stagefright漏洞發動攻擊。

德雷克不確定有多少應用依賴於Stagefright，但他認為，任何一款應用，只要處理Android上的媒體檔，就需要以某種方式來利用Stagefright。在所有攻擊途徑中，彩信是最危險的，因為它不需要用戶的任何互動，只需手機接受一條惡意資訊即可。

德雷克稱，例如，用戶在睡覺時把手機靜音，黑客就可以發送一條惡意彩信。黑客利用該彩信發動攻擊後，還可以將這條彩信刪除，這樣用戶就永遠也不會知道自己的手機被入侵。

德雷克不僅發現了存在於Stagefright中的這些漏洞，還開發了必要的修補程式，並於今年4月和5月初提供給了谷歌。德雷克稱，穀歌對該問題十分重視，在48小時內就將該補丁應用到谷歌內部的Android代碼庫中。

在通過Android開源專案(AOSP)發佈之前，谷歌已經提前將該修補程式提供了部分合作夥伴設備廠商。但遺憾的是，德雷克預計，由於Android更新較慢，當前超過95%的Android設備依然受Stagefright漏洞的影響。即使在谷歌自家的Nexus系類設備中，目前也只有Nexus6接收到了部分修補程式。

通過OTA更新，Android修補程式到達終端用戶手中往往需要幾個月時間。因為廠商首先要把谷歌的代碼置入自己的代碼庫中，然後為自己的各種型號設備建立新的固件版本，測試後再與移動運營商合作來發佈更新。而且，如果設備超過18個月就徹底停止接收更新，因此對於新發現的安全漏洞毫無抵抗之力。

德雷克發現的這些安全漏洞影響Android2.2及以上版本，這意味著有大量設備將永遠無法接收到這些修補程式。德雷克預計，在當前使用中的Android設備中，最終將只有20%至50%的設備能夠接收到修補程式。德雷克還稱，50%是一個理想的目標，如果真的達到50%，那將是令人吃驚的。

對此，谷歌在一封電子郵件聲明中對德雷克的貢獻表示感謝，並證實這些修補程式已經提供給合作夥伴。谷歌還稱：“大部分Android設備，包括所有新設備，都擁有多項技術讓黑客的入侵變得更困難。另外，Android設備還包含一款 ‘沙箱’ 應用，用來保護用戶資料和設備上的其他應用。”

在這些漏洞被利用後，黑客能在用戶設備上執行的操作會有所不同，這主要取決於Stagefright框架的優先順序別。整體而言，用戶可以訪問設備的麥克風、攝像頭、外部存儲分區，但不會安裝應用或訪問設備的內部資料。德雷克稱，如果Stagefright擁有系統級許可權(根許可權)，那麼在受影響的設備中，預計有50%會被黑客完全控制。

由於這些修補程式尚未通過AOSP專案發佈，意味著非谷歌合作夥伴尚未得到修補程式。此外，CyanogenMod等第三方AOSP固件也可能受到影響。據悉，德雷克私下已將這些修補程式提供給部分受影響的第三方，如Silent Circle和Mozilla等。

Android、Windows和Mac版Mozilla Firefox，以及FirefoxOS均受這些漏洞影響，因為它們都使用了Stagefright框架。據悉，Mozilla今年5月已修復了Firefox 38。

德雷克計劃在8月5日的黑帽安全大會(Black Hat Security Conference)上提供更多相信資訊。