Android安卓系統(tǒng)被曝致命安全漏洞

在研究人員將Stagefright漏洞披露出來之后,現(xiàn)在谷歌公司又在其安卓系統(tǒng)中發(fā)現(xiàn)了另一個(gè)嚴(yán)重的安全漏洞。
 

權(quán)限提升漏洞允許普通的應(yīng)用程序得到能夠窺探設(shè)備各項(xiàng)數(shù)據(jù)的超級(jí)權(quán)限，然后悄悄地在設(shè)備中安裝惡意軟件，并造成其他嚴(yán)重的后果。研究人員在下面的視頻中進(jìn)行了演示操作。
 

這個(gè)漏洞代碼為CVE-2015-3825，它影響了大約55%的安卓手持設(shè)備，這些受影響的設(shè)備系統(tǒng)基本上都是4.3版本以及更高級(jí)版本的系統(tǒng)，其中也包括當(dāng)前最熱門的Android M。
 

安卓系統(tǒng)中OpenSSLX509Certificate類的漏洞可以被普通的應(yīng)用程序利用，然后攻擊系統(tǒng)的system_server進(jìn)程，進(jìn)而獲取設(shè)備系統(tǒng)級(jí)別的訪問權(quán)限。
 

Or Peles是IBM公司X-Force應(yīng)用安全研究團(tuán)隊(duì)的一名安全研究人員，Or Peles說到：“簡單來講,一名技術(shù)高超的攻擊者可以利用這個(gè)任意代碼執(zhí)行漏洞，然后將一個(gè)惡意應(yīng)用程序通過權(quán)限提升，將其變成一個(gè)“超級(jí)應(yīng)用程序”，并幫助網(wǎng)絡(luò)犯罪分子成功獲取目標(biāo)設(shè)備的控制權(quán)。”
 

他還補(bǔ)充說到:“除了這個(gè)安卓漏洞之外，公司的安全研究團(tuán)隊(duì)還發(fā)現(xiàn)了幾個(gè)存在于第三方安卓軟件開發(fā)套件（SDKs）之中的漏洞，這些漏洞可以幫助攻擊者得到手機(jī)應(yīng)用程序的控制權(quán)。”
 

漏洞的工作機(jī)制是這樣的，攻擊者會(huì)給用戶們提供一個(gè)外表看似正常的應(yīng)用程序，當(dāng)用戶安裝了這個(gè)程序之后，這個(gè)看似正常的惡意程序并不會(huì)向用戶請(qǐng)求設(shè)備的數(shù)據(jù)訪問權(quán)限，這樣的機(jī)制會(huì)讓應(yīng)用程序的安裝用戶產(chǎn)生一種虛假的安全感。
 

用戶一旦安裝完成之后,這個(gè)惡意軟件便會(huì)利用OpenSSLX509Certificate漏洞來修改手持設(shè)備的內(nèi)存值，并實(shí)現(xiàn)它的特權(quán)提升。然后,攻擊者就可以引入一個(gè)合法的應(yīng)用程序，并替換設(shè)備中已存在的應(yīng)用程序，當(dāng)設(shè)備重新啟動(dòng)之后,攻擊者就可以開始收集設(shè)備中的數(shù)據(jù)了。
 

好消息是,公司已經(jīng)發(fā)布了能夠修復(fù)這個(gè)漏洞的更新補(bǔ)丁，而且目前來說，還沒有發(fā)生由次漏洞而引發(fā)的安全事件。但壞消息就是,大多數(shù)的安卓用戶并沒有接收到這個(gè)更新補(bǔ)丁的推送，而且很多安卓用戶必須等待一段時(shí)間才能接收到該更新補(bǔ)丁的推送（谷歌公司的新政策,按月給用戶推送更新補(bǔ)丁）。
 

2015年的USENIX進(jìn)攻技術(shù)研討會(huì)舉辦于美國的華盛頓特區(qū),關(guān)于此漏洞的完整信息也已經(jīng)在研討會(huì)上公布了出來。