搜索

[8599] 2015-01-17_放弃老版本：超过9.3亿安卓手机失去谷歌官方安全保护

文档创建者：s7ckTeam
浏览次数：44
最后更新：2025-01-17
2015-01-17_放弃老版本：超过9.3亿安卓手机失去谷歌官方安全保护 放 弃 老 版 本 ： 超 过 9 . 3 亿 安 卓 手 机 失 去 谷 歌 官 方 安 全 保 护 F r e e B u f   2 0 1 5 - 0 1 - 1 7 面 对 越 来 越 多 基 于 面 对 越 来 越 多 基 于 A n d r o i d （ 安 卓 ） 系 统 开 发 的 手 机 ， 当 前 谷 歌 已 经 无 力 直 接 控 制 （ 安 卓 ） 系 统 开 发 的 手 机 ， 当 前 谷 歌 已 经 无 力 直 接 控 制 A n d r o i d 设 备 的 安 全 升 级 了 ， 这 种 情 况 会 导 致 约 设 备 的 安 全 升 级 了 ， 这 种 情 况 会 导 致 约 6 0 % 的 的 A n d r o i d 手 机 处 于 在 安 全 风 险 中 。 手 机 处 于 在 安 全 风 险 中 。 A n d r o i d 处 于 危 险 之 中 处 于 危 险 之 中 安 全 专 家 T o d d   B e a r s l e y 在 R a p i d 7   S e c u r i t y   S t r e e t 上 发 布 了 一 篇 有 趣 的 博 文 ， 文 中 解 释 说 目 前 M e t a s p l o i t 框 架 中 包 含 1 1 种 针 对 W e b V i e w 的 不 同 漏 洞 利 用 程 序 。 “ W e b V i e w 是 A n d r o i d 设 备 中 用 于 渲 染 w e b 页 面 的 核 心 组 件 。 在 A n d r o i d   K i t K a t （ 4 . 4 ） 中 该 组 件 被 另 一 个 基 于 C h r o m i u m 的 W e b V i e w 所 替 代 ， 而 谷 歌 的 C h r o m e 浏 览 器 使 用 的 也 正 是 该 组 件 。 ” 安 全 社 区 意 识 到 旧 版 本 A n d r o i d 系 统 中 的 W e b V i e w 组 件 非 常 脆 弱 。 就 在 1 年 前 ， R a p i d   7   发 布 了 “ e x p l o i t / a n d r o i d / b r o w s e r / w e b v i e w _ a d d j a v a s c r i p t i n t e r f a c e ” 模 块 ， 该 模 块 使 得 攻 击 者 能 够 远 程 访 问 大 多 数 A n d r o i d 设 备 。 放 弃 老 版 本 ， 谷 歌 不 再 提 供 安 全 支 持 放 弃 老 版 本 ， 谷 歌 不 再 提 供 安 全 支 持 坏 消 息 是 ， 目 前 在 用 户 使 用 的 A n d r o i d 设 备 中 ， 约 6 0 % 仍 旧 依 赖 于 包 含 漏 洞 的 W e b V i e w 组 件 ； 更 坏 的 消 息 是 谷 歌 以 后 将 不 再 修 复 W e b V i e w 漏 洞 ， A n d r o i d 4 . 4 之 前 的 所 有 版 本 都 会 受 该 漏 洞 的 影 响 。 好 消 息 是 ， 谷 歌 将 接 受 由 研 究 社 区 提 供 的 漏 洞 补 丁 ， 并 会 将 新 发 现 的 漏 洞 及 时 通 知 给 O E M 合 作 伙 伴 。 在 收 到 在 收 到 A n d r o i d 4 . 4 之 前 版 本 的 之 前 版 本 的 W e b V i e w 漏 洞 的 报 告 时 ， 安 卓 安 全 团 队 给 出 了 这 样 的 回 复 ： 漏 洞 的 报 告 时 ， 安 卓 安 全 团 队 给 出 了 这 样 的 回 复 ： 如 果 受 影 响 的 版 本 （ W e b V i e w ） 是 在 A n d r o i d 4 . 4 之 前 ， 那 么 我 们 通 常 不 亲 自 开 发 补 丁 ， 但 欢 迎 你 们 开 发 补 丁 并 提 供 相 关 报 告 。 除 了 通 知 O E M 方 ， 我 们 将 不 会 采 取 任 何 措 施 来 应 对 该 漏 洞 。 然 而 ， 即 使 谷 歌 将 有 关 新 漏 洞 的 消 息 通 知 给 O E M 方 ， 大 规 模 的 漏 洞 补 丁 管 理 仍 然 需 要 花 费 很 长 的 时 间 ， 所 以 在 补 丁 发 布 之 前 ， 6 0 % 的 最 终 用 户 仍 然 处 于 危 险 之 中 。 同 时 同 时 有 一 点 有 一 点 必 须 考 虑 ， 那 就 是 不 同 的 手 机 厂 商 都 会 发 布 他 们 自 己 定 制 的 必 须 考 虑 ， 那 就 是 不 同 的 手 机 厂 商 都 会 发 布 他 们 自 己 定 制 的 A n d r o i d 系 统 （ 系 统 （ O E M ） ， 通 常 这 些 定 制 系 统 中 会 包 含 一 些 辅 助 功 能 和 第 三 方 应 用 。 ） ， 通 常 这 些 定 制 系 统 中 会 包 含 一 些 辅 助 功 能 和 第 三 方 应 用 。 根 据 谷 歌 发 布 的 数 据 ， 虽 然 自 从 2 0 1 3 年 1 0 月 份 就 已 发 布 A n d r o i d 4 . 4 系 统 ， 但 是 约 6 0 % 的 移 动 用 户 仍 然 使 用 的 是 4 . 4 之 前 的 系 统 版 本 ， 使 得 这 些 用 户 无 形 中 暴 露 在 被 攻 击 的 危 险 之 中 。 由 G a r t n e r 和 《 华 尔 街 日 报 》 给 出 的 有 关 智 能 手 机 分 布 数 据 表 明 ， 超 过 9 . 3 亿 的 A n d r o i d 手 机 现 在 失 去 了 谷 歌 官 方 安 全 补 丁 的 支 持 。 我 们 还 必 须 考 虑 到 ， 供 应 商 和 网 络 提 供 商 很 少 会 开 发 、 测 试 补 丁 并 修 复 旧 版 本 中 的 漏 洞 ， 而 是 更 加 希 望 我 们 还 必 须 考 虑 到 ， 供 应 商 和 网 络 提 供 商 很 少 会 开 发 、 测 试 补 丁 并 修 复 旧 版 本 中 的 漏 洞 ， 而 是 更 加 希 望 A n d r o i d 手 机 用 户 升 级 设 备 。 手 机 用 户 升 级 设 备 。 我 个 人 认 为 这 跟 谷 歌 不 能 控 制 整 个 A n d r o i d 系 统 升 级 供 应 链 有 关 ； 另 一 个 原 因 是 日 益 增 加 的 网 络 威 胁 已 经 瞄 准 了 移 动 行 业 ， 并 且 这 种 威 胁 更 加 复 杂 。 与 谷 歌 不 同 的 是 ， 苹 果 和 微 软 这 种 公 司 对 他 们 的 移 动 操 作 系 统 的 部 署 和 升 级 都 拥 有 直 接 的 控 制 权 。 A n d r o i d 安 全 形 式 严 峻 安 全 形 式 严 峻 B e a r s l e y 也 提 供 了 一 个 有 趣 的 “ 升 级 经 济 ” 现 象 。 根 据 市 场 上 手 机 价 格 的 不 同 ， 我 们 本 来 会 有 很 多 选 择 。 但 不 幸 的 是 ， 大 部 分 用 户 付 不 起 升 级 手 机 的 费 用 ， 所 以 没 有 其 他 选 择 ， 只 能 买 上 市 已 久 的 A n d r o i d 手 机 。 “ 除 了 手 机 系 统 的 安 装 基 础 ， 我 认 为 目 前 使 用 A n d r o i d 4 . 4 之 前 版 本 的 用 户 很 可 能 是 没 有 足 够 的 经 济 支 撑 来 升 级 到 A n d r o i d 最 新 版 本 。 最 新 的 谷 歌 N e x u s 零 售 价 约 为 6 6 0 美 元 ， 而 亚 马 逊 上 第 一 款 A n d r o i d 手 机 的 零 售 价 才 7 0 美 元 。 两 者 的 差 价 将 近 1 0 倍 ， 这 就 意 味 着 两 个 差 别 非 常 大 的 用 户 基 础 ： 一 个 是 不 介 意 花 费 几 百 美 元 来 买 一 个 新 手 机 ， 另 一 个 则 是 买 不 起 价 格 超 过 1 0 0 美 元 的 手 机 。 所 有 加 在 一 起 ， 则 有 约 2 / 3 的 用 户 基 本 没 有 经 济 能 力 去 升 级 自 己 的 移 动 设 备 ， 也 就 意 味 着 旧 有 A n d r o i d 手 机 中 的 漏 洞 利 用 将 会 持 续 很 长 时 间 。 ” 安 全 研 究 人 员 已 经 发 现 针 对 移 动 平 台 的 攻 击 越 来 越 频 繁 ， 并 且 利 用 A n d r o i d 设 备 漏 洞 的 在 线 工 具 和 平 台 也 越 来 越 多 。 我 们 希 望 谷 歌 能 够 重 新 考 虑 为 旧 有 的 我 们 希 望 谷 歌 能 够 重 新 考 虑 为 旧 有 的 A n d r o i d 手 机 提 供 安 全 支 持 ， 因 为 用 户 的 安 全 是 我 们 所 有 人 的 责 任 。 手 机 提 供 安 全 支 持 ， 因 为 用 户 的 安 全 是 我 们 所 有 人 的 责 任 。 [ 参 考 来 源 参 考 来 源 S e c u r i t y A f f a i r s ， 译 ， 译 / 实 习 编 辑 实 习 编 辑 J a c k F r e e ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理