搜索

[28321] 2020-05-27_CVE-2020-0096Android特权提升漏洞通告

文档创建者：s7ckTeam
浏览次数：54
最后更新：2025-01-19
2020-05-27_CVE-2020-0096Android特权提升漏洞通告 C V E - 2 0 2 0 - 0 0 9 6   |   A n d r o i d   特 权 提 升 漏 洞 通 告 O t s 安 全   2 0 2 0 - 0 5 - 2 7 0 x 0 0   漏 洞 概 述 C V E       I D C V E - 2 0 2 0 - 0 0 9 6 时         间 2 0 2 0 - 0 5 - 2 7 类       型 E O A 等         级 严 重 远 程 利 用 是 影 响 范 围 A n d r o i d   < =   9 . 0 0 x 0 1   漏 洞 详 情 A n d r o i d 是 美 国 谷 歌 （ G o o g l e ） 和 开 放 手 持 设 备 联 盟 （ 简 称 O H A ） 的 一 套 以 L i n u x 为 基 础 的 开 源 操 作 系 统 。 F r a m e w o r k 是 其 中 的 一 个 A n d r o i d 框 架 组 件 。 P r o m o n 研 究 人 员 发 现 了 A n d r o i d 中 的 一 个 新 的 特 权 提 升 漏 洞 （ C V E - 2 0 2 0 - 0 0 9 6 ） ， 该 漏 洞 使 恶 意 应 用 伪 装 成 大 多 数 合 法 应 用 ， 并 从 A n d r o i d 用 户 那 里 窃 取 敏 感 信 息 。 由 于 该 漏 洞 与 该 公 司 于 2 0 1 9 年 发 现 的 臭 名 昭 著 的 S t r a n d H o g g 漏 洞 相 似 ， 因 此 被 P r o m o n 命 名 为 S t r a n d H o g g   2 . 0 。 S t r a n d h o g g   2 . 0 是 通 过 反 射 执 行 的 ， 从 而 允 许 恶 意 应 用 自 由 地 假 定 合 法 应 用 的 身 份 ， 同 时 也 保 持 完 全 隐 藏 。 一 旦 设 备 上 安 装 了 恶 意 应 用 ， 攻 击 者 就 可 以 访 问 私 人 S M S 消 息 和 照 片 ， 窃 取 受 害 者 的 登 录 凭 据 ， 跟 踪 G P S 移 动 ， 记 录 电 话 对 话 以 及 通 过 电 话 的 摄 像 头 和 麦 克 风 进 行 间 谍 活 动 。 设 备 上 安 装 的 恶 意 应 用 程 序 可 以 攻 击 并 欺 骗 用 户 ， 在 单 击 合 法 应 用 程 序 的 图 标 时 ， 在 用 户 屏 幕 上 显 示 恶 意 版 本 ， 如 果 受 害 者 随 后 在 此 界 面 中 输 入 其 登 录 凭 据 ， 则 这 些 敏 感 详 细 信 息 将 立 即 发 送 给 攻 击 者 。
通 过 利 用 S t r a n d H o g g   2 . 0 ， 攻 击 者 不 需 要 r o o t 访 问 权 限 或 设 备 的 任 何 权 限 即 可 执 行 各 种 恶 意 任 务 ， 具 体 如 下 ：   通 过 麦 克 风 收 听 用 户   通 过 相 机 拍 照   阅 读 和 发 送 S M S 消 息   记 录 电 话 对 话   网 络 钓 鱼 登 录 凭 据   访 问 设 备 上 所 有 私 人 照 片 和 文 件   获 取 位 置 和 G P S 信 息   访 问 联 系 人 列 表   访 问 电 话 日 志 G o o g l e 已 于 2 0 1 9 年 1 2 月 收 到 该 漏 洞 的 通 知 ， 并 于 2 0 2 0 年 4 月 向 A n d r o i d 生 态 系 统 合 作 伙 伴 推 出 了 补 丁 程 序 后 ， 已 经 针 对 A n d r o i d 8 . 0 、 8 . 1 和 9 版 本 发 布 了 安 全 修 复 程 序 。 P r o m o n 首 席 技 术 官 兼 创 始 人 汤 姆 · 莱 塞 米 塞 · 汉 森 （ T o m   L y s e m o s e   H a n s e n ） 表 示 ： “ A n d r o i d 用 户 应 尽 快 将 其 设 备 更 新 到 最 新 固 件 ， 以 保 护 自 己 免 受 使 用 S t r a n d H o g g   2 . 0 的 攻 击 。 ” 幸 运 的 是 ， 到 目 前 为 止 ， 还 没 有 发 现 恶 意 软 件 积 极 利 用 野 外 安 全 漏 洞 。 P r o m o n 预 测 ， 攻 击 者 将 同 时 使 用 S t r a n d H o g g 和 S t r a n d H o g g   2 . 0 ， 因 为 这 两 个 漏 洞 都 以 独 特 的 方 式 以 不 同 的 方 式 攻 击 设 备 。 由 于 绝 大 多 数 用 户 仍 在 其 设 备 上 运 行 A n d r o i d   9 . 0 或 更 早 版 本 ， 超 过 9 0 ％ 的 A n d r o i d 用 户 容 易 受 到 攻 击 。 0 x 0 2   处 置 建 议 目 前 厂 商 已 发 布 升 级 补 丁 以 修 复 漏 洞 ， 补 丁 获 取 链 接 ： h t t p s : / / s o u r c e . a n d r o i d . c o m / s e c u r i t y / b u l l e t i n / 2 0 2 0 - 0 5 - 0 1
0 x 0 3   相 关 新 闻 h t t p s : / / w w w . b l e e p i n g c o m p u t e r . c o m / n e w s / s e c u r i t y / c r i t i c a l - a n d r o i d - b u g - l e t s - m a l i c i o u s - a p p s - h i d e - i n - p l a i n - s i g h t / 0 x 0 4   参 考 链 接 h t t p s : / / p r o m o n . c o / s t r a n d h o g g - 2 - 0 / h t t p s : / / s o u r c e . a n d r o i d . c o m / s e c u r i t y / b u l l e t i n / 2 0 2 0 - 0 5 - 0 1 0 x 0 5   时 间 线 2 0 2 0 - 0 5 - 2 6   P r o m o n 研 究 人 员 发 布 公 告 2 0 2 0 - 0 5 - 2 7   V S R C 发 布 漏 洞 通 告
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理