XDA智能手机网 - 第一智能手机评述媒体
科技您的位置:首页 >科技 >

小米手机预装的安全应用程序中发现的漏洞

发布时间:2019-04-05 17:30:07 来源:

小米已经修补了Guard Provider的安全漏洞,这是所有最近的小米智能手机附带的默认安全应用程序。

该漏洞将允许攻击者向Guard Provider应用程序注入流量,并插入可能使威胁行为者运行恶意代码以接管电话,安装恶意软件或窃取用户数据的恶意命令。

以色列网络安全公司Check Point的安全研究人员发现了这个安全漏洞,后者将在今天晚些时候发布有关该问题的详细报告。

由两个SDK之间的交互引起的错误

这个问题的核心漏洞来自应用程序的设计。小米卫士提供商应用程序包含内置的三个不同的防病毒品牌,用户可以选择并保留为默认防病毒软件。三者是Avast,AVL和腾讯。

该应用程序和这三种防病毒产品各自带有不同的编码库(SDKs - 软件开发工具包),用于为各种功能提供动力。

Check Point表示,其中两个SDK(Avast SDK和AVL SDK)之间的交互暴露了一种在小米设备上执行代码的方式。

这个漏洞的影响有限,但由于来自小米卫队提供商的流量未加密,任何处于注入受害者网络流量的攻击者都可以有效地接管受害者的电话。

这包括中间人攻击方案,例如路由器上发现的恶意软件,流氓ISP,任何“邪恶接入点”方案等。

太多的厨师

“上述攻击情景也说明了在一个应用程序中使用多个SDK的危险,”Check Point安全研究员Slava Makkaveev说。“虽然每个SDK中的小错误通常都是一个独立的问题,但是当在同一个应用程序中实现多个SDK时,更可能的是,更严重的漏洞也不会太遥远。”

Makkaveev的评论应引起大多数智能手机用户的担忧。甲2018研究 Android应用生态系统的发现,嵌入在一个应用程序移动SDK的平均数目是约18。

由于大量不同的SDK在应用程序的代码库中相互交互,应用程序制造商可能永远不会知道这些库如何组合以产生开发人员可能从未预料到的超级错误。

Check Point的调查结果也证实了上个月发布的一篇学术论文,该论文发现预装应用程序的Android生态系统是一个完整的隐私和安全问题,许多预安装的应用程序包含安全漏洞,恶意软件,并且无需收集大量用户数据为用户提供退出或禁用这些违规应用的方法。

热点推荐
随机文章