搜索

[8774] 2015-03-20_FireEye：11.2%的移动APP仍存在FREAK漏洞

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2015-03-20_FireEye：11.2%的移动APP仍存在FREAK漏洞 F i r e E y e ： 1 1 . 2 % 的 移 动 A P P 仍 存 在 F R E A K 漏 洞 F r e e B u f   2 0 1 5 - 0 3 - 2 0 微 信 号 ： 微 信 号 ： f r e e b u f 近 日 美 国 知 名 安 全 公 司 火 眼 （ 近 日 美 国 知 名 安 全 公 司 火 眼 （ F i r e E y e ） 发 布 了 安 全 报 告 ， 该 报 告 揭 示 了 一 个 令 人 不 安 的 事 实 ： 虽 然 官 方 发 布 了 补 ） 发 布 了 安 全 报 告 ， 该 报 告 揭 示 了 一 个 令 人 不 安 的 事 实 ： 虽 然 官 方 发 布 了 补 丁 ， 但 大 量 的 安 卓 和 丁 ， 但 大 量 的 安 卓 和 i O S 移 动 应 用 仍 存 移 动 应 用 仍 存 R R E A K 漏 洞 。 漏 洞 。 F R E A K 漏 洞 漏 洞 今 年 3 月 初 ， 安 全 专 家 发 现 了 一 个 编 号 为 F R E A K （ C V E - 2 0 1 5 - 0 2 0 4 ） （ 点 我 查 看 F r e e B u f 漏 洞 分 析 漏 洞 分 析 ） 的 严 重 漏 洞 。 当 网 民 访 问 安 全 网 站 时 ， 攻 击 者 可 以 利 用 该 漏 洞 破 解 加 密 流 量 ， 并 发 起 中 间 人 攻 击 。 通 过 利 用 F R E A K 漏 洞 ， 攻 击 者 可 以 迫 使 客 户 端 使 用 包 含 漏 洞 的 低 版 本 加 密 方 式 ， 然 后 可 以 在 数 小 时 内 破 解 上 网 流 量 ， 即 使 这 些 流 量 以 5 1 2 位 的 密 钥 加 密 保 护 也 无 济 于 事 。 一 旦 解 密 了 这 些 流 量 ， 攻 击 者 就 可 以 偷 取 敏 感 信 息 ， 或 者 通 过 注 入 恶 意 代 码 发 起 攻 击 。 近 近 1 1 . 2 % 的 应 用 存 在 风 险 的 应 用 存 在 风 险 近 日 ， 安 全 公 司 火 眼 （ F i r e E y e ） 发 布 了 一 份 报 告 ， 该 报 告 揭 示 了 一 个 令 人 不 安 的 事 实 ： 尽 管 厂 商 已 经 发 布 了 针 对 安 卓 和 尽 管 厂 商 已 经 发 布 了 针 对 安 卓 和 i O S 的 的 F R E A K 漏 洞 补 丁 ， 但 是 当 连 接 到 接 受 漏 洞 补 丁 ， 但 是 当 连 接 到 接 受 R S A _ E X P O R T 密 码 套 件 的 服 务 器 时 ， 很 密 码 套 件 的 服 务 器 时 ， 很 多 应 用 仍 然 处 于 多 应 用 仍 然 处 于 F R E A K 漏 洞 的 攻 击 风 险 之 中 。 此 外 ， 除 了 最 近 苹 果 为 它 的 移 动 设 备 发 布 的 漏 洞 的 攻 击 风 险 之 中 。 此 外 ， 除 了 最 近 苹 果 为 它 的 移 动 设 备 发 布 的 i O S 8 . 2 版 本 系 统 之 外 ， 许 版 本 系 统 之 外 ， 许 多 多 i O S 应 用 仍 旧 易 于 遭 受 应 用 仍 旧 易 于 遭 受 F R E A K 攻 击 。 攻 击 。 火 眼 公 司 扫 描 了 谷 歌 应 用 商 店 中 1 0 9 8 5 个 安 卓 应 用 ， 发 现 将 近 1 1 . 2 % 的 应 用 存 在 F R E A K 漏 洞 ， 因 为 这 些 应 用 中 仍 然 在 使 用 包 含 漏 洞 的 O p e n S S L 库 。 而 受 影 响 的 这 1 2 2 8 个 应 用 已 经 被 下 载 超 过 6 3 亿 次 。 在 这 1 2 2 8 个 安 卓 应 用 中 ， 有 6 6 4 个 使 用 了 安 卓 内 置 的 O p e n S S L 库 ， 5 6 4 个 使 用 了 自 己 编 译 的 O p e n S S L 库 ， 而 所 有 这 些 O p e n S S L 版 本 都 易 遭 受 F R E A K 攻 击 。 对 苹 果 设 备 来 说 ， 情 况 稍 微 好 一 些 ， 在 扫 描 的 1 4 0 0 0 个 i O S 应 用 中 ， 只 有 7 7 1 个 容 易 受 到 攻 击 。 研 究 人 员 在 报 告 中 说 ： 研 究 人 员 在 报 告 中 说 ： “ 在 低 于 i O S 8 . 2 的 版 本 上 ， 这 些 应 用 容 易 遭 受 F R E A K 攻 击 。 7 7 1 个 应 用 中 有 7 个 使 用 的 是 自 己 编 译 的 O p e n S S L 库 ， 它 们 在 i O S 8 . 2 系 统 上 仍 然 受 F R E A K 漏 洞 影 响 。 ”
研 究 人 员 将 这 些 抽 查 的 应 用 分 成 了 几 个 类 别 （ 照 片 和 视 频 、 生 活 方 式 、 社 交 网 络 、 卫 生 健 康 、 金 融 、 通 信 、 购 物 、 商 业 和 医 疗 应 用 ） ， 下 图 中 显 示 了 每 种 类 别 中 仍 旧 受 此 漏 洞 影 响 的 应 用 数 量 。 这 份 报 告 包 括 火 眼 公 司 所 做 测 试 的 一 个 例 子 ， 专 家 们 使 用 F R E A K 漏 洞 的 利 用 代 码 攻 击 了 一 个 受 影 响 的 购 物 应 用 ， 最 后 成 功 地 获 取 到 用 户 的 登 录 凭 证 和 信 用 卡 信 息 ， 如 下 图 所 示 。 安 全 建 议 安 全 建 议 对 于 仍 在 使 用 旧 版 本 O p e n S S L 库 的 移 动 应 用 ， 相 应 开 发 者 及 公 司 应 该 尽 快 更 新 应 用 版 本 ， 换 用 修 复 了 F R E A K 漏 洞 的 新 版 O p e n S S L 库 ， 以 免 给 用 户 及 公 司 造 成 不 必 要 的 损 失 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理