Loading
0

一张图片能导致数百万Android手机被黑?

谷歌今天发布了最新的Android安全公告(Android Security Bulletin),针对前一阵曝出的一系列漏洞做了补丁修复,比如说影响到9亿台设备、针对高通芯片的Quadrooter漏洞——这也是本次Android补丁修复漏洞的重点。

不过来自Forbes的报道,实际上这次谷歌还修复了一个鲜为人知的漏洞,看起来也是相当危险:只要有人给你发一张照片,Android手机就可能被入侵——在某些情况下,用户甚至不需要点击这张照片,手机自动对照片进行解析时,黑客就能远程控制Android设备,或者令设备变砖。

android_phone_google_apps_thumb800.jpg

点开图片 手机就变砖

该漏洞编号为CVE-2016-3862,实际上和先前著名的Stagefright(只需要一条彩信就能控制受害者的手机)有些类似,或者说和前一阵苹果系统中的CVE-2016-4631漏洞更像。不过这次的漏洞与图片的EXIF信息有关:数字图片除了自身呈现画面的数据之外,还附带有EXIF数据——比如这张照片是用什么设备拍的,照片拍摄所在地理位置、拍摄时光圈、快门分别是多少等等,这些信息就属于EXIF数据部分。

Android系统中读写JPG图片EXIF扩展信息的API为ExifInterface——在应用解析图片信息的过程中,该漏洞就能被恶意代码利用。任何使用了ExifInterface类的Android应用都可能触发此漏洞。来自安全公司SentinelOne的Strazzere表示,如Gchat、Gmail这些应用,用户在这些应用中打开图片文件,就可能导致设备崩溃,甚至“远程代码执行”,并在用户毫无察觉的情况下在系统中植入恶意程序,并进行全面控制。

“该漏洞不需要引起用户太多的注意就能触发,比如应用只需要以特定的方式来加载图片。触发的方式非常简单,包括接收一条消息或者电子邮件。只要应用对照片进行解析(这个过程是系统自动进行的),就会导致问题发生。”

“从理论上来说,攻击者可以在图片文件中构建恶意代码,感染大量设备…Gchat、Gmail和绝大部分其他消息通讯应用、社交网络应用都可能触发该漏洞。”不过Strazzere并没有说明,究竟具体是哪些应用受到影响,只是说包括一些“隐私敏感”工具。

android_rain-wide.jpg

若无法升级系统 请更换手机

Forbes的这篇文章中并没有详述该漏洞的技术细节,我们从Android安全公告中看到,谷歌对这个漏洞的归类为“Mediaserver中的远程代码执行漏洞”,漏洞威胁等级为Critical紧急级别。漏洞描述如下:

“Mediaserver中的远程代码执行漏洞,攻击者通过专门构建的文件,在媒体文件和数据处理过程中,可致内存崩溃(corruption)。鉴于该问题可导致在Mediaserver进程中进行远程代码执行,故将漏洞分级为紧急级别。”

谷歌这次发布的Android系统9月补丁针对Android 4.4.4及更高版本的系统(已经升级Android 7.0的设备似乎是不受影响的),不过据说更老版本的系统也存在这一问题,只不过谷歌已不再支持早期版本的系统更新。Strazzere特别针对Android 4.2以及部分亚马逊Kindle平板设备进行了试验,发现也都存在此问题。

所以Strazzere的建议是,如果你的Android手机过老,已经不能再进行系统升级了,那么只要你还在意安全性,就请换一部手机吧。运行Android 4.4.4系统以上版本的Nexus设备今天应该就会收到一波更新,其他OEM厂商的Android设备就需要等厂商和运营商的补丁推送计划了。

根据Android系统BUG奖励计划,Strazzere获得了谷歌4000美元的奖励,不过据说谷歌还多奖励了另外4000美元给他。而Strazzere则将这8000美元捐给了Girls Garage项目(为9-13岁的女孩准备的building计划)。

【声明】:8090安全小组门户(http://www.8090-sec.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们:邮箱hack@ddos.kim,我们会在最短的时间内进行处理。