• 媒体品牌
    爱范儿
    关注明日产品的数字潮牌
    APPSO
    先进工具,先知先行,AIGC 的灵感指南
    董车会
    造车新时代,明日出行家
    玩物志
    探索城市新生活方式,做你的明日生活指南
  • 知晓云
  • 制糖工厂
    扫描小程序码,了解更多

Android 再现重大漏洞,如何防范?

产品

2015-10-02 12:32

VICE 的一篇报道证实,Zimperium zLabs 的研究者 Joshua Drake 在 Android 操作系统中发现 Stagefright 2.0 漏洞。这一漏洞包含两个 bug,可通过 MP3 音频及 MP4 视频,植入来自攻击者的恶意代码。Stagefright 2.0 可以影响 14 亿 Android 系统用户,但值得庆幸的是,目前暂未发现黑客利用它发起攻击。

这已不是 Stagefright 的第一个漏洞

Stagefright 本身并不是一种漏洞,而是 Android 操作系统的核心组成框架之一,主要用来处理、播放和记录多媒体文件。因为 Stagefright 框架可以处理操作系统接收的任何媒体文件,所以也给黑客提供了多种侵入用户手机的方法。

在今年 7 月份,Joshua Drake 就已经在 Stagefright 框架中发现了该漏洞的第一个版本,不过它的工作原理与 Stagefright 2.0 版本漏洞不同,我们也曾进行报道

它的厉害之处在于,黑客只需要知道你的手机号码,发一条彩信就可以入侵用户的手机,在远端执行代码读取、控制你手机中的内容,甚至不需要你去打开这条彩信。

不过在 8 月 15 日,Stagefright 1.0 漏洞就被提交至 Google,在被发现不久之后就已经修复。

除了多媒体文件以外,黑客还可以借助 Stagefright 2.0 的另一个渠道入侵他人手机:当黑客与攻击目标身处同一个 WiFi 网络当中(比如咖啡店的公共 WiFi),可以将恶意代码经由未加密网络植入受害者手机,省去了诱导用户打开特定多媒体文件的步骤,也可以在完全隐蔽的情况下进行攻击。

手机厂商如何应对?

基于安全考虑,Zimperium 并没有公布更多 Stagefright 2.0 漏洞的技术细节,不过已经将其上报至 Google。Google 发言人表示,他们将在 10 月 5 日向 Nexus 手机用户推送更新,封堵漏洞。刚刚发布的 Nexus 5X 和 Nexus 6P 手机出厂时预装 Stagefright 2.0 补丁。

微博用户 Zackbuks 今早发布消息称索尼已经推送了 23.4.A.1.232 版本固件,升级后经过 Stagefright Detector 检测,可以有效避免受到漏洞影响。

还有一些 Moto X 用户表示早在 9 月末就已经收到了版本号为 222.27.5 的 OTA 补丁更新。

Weibo about Stagefright

如何避免攻击?

我们已经知道,黑客可以通过公共 WiFi、MP3/MP4 多媒体文件、来路不明的网页发起攻击,因此在安装补丁之前,Android 用户应该注意:

  1. 不要点击来路不明的网页。这些网页可能会包含被植入了恶意代码的多媒体文件,所以在浏览网站时要注意甄别网页来源。
  2. 避免使用公共 WiFi。当你的手机连入公共 WiFi 后,黑客总有办法入侵你的手机,因此切断恶意代码传播的渠道是一种明智的选择。
  3. 及时更新系统。不更新操作系统,再好的安全补丁也不会为你的手机提供防御。

虽然 Stagefright 2.0 漏洞将 14 亿用户变成了潜在受害者,但是好在各大手机厂商似乎都已知情,并着手提供解决方案,所以只要在日常使用中多加注意,该漏洞并不会演变为大的安全危机。

 

题图来自:Wikipedia

登录,参与讨论前请先登录

评论在审核通过后将对所有人可见

正在加载中

关注无人机、汽车,探讨商业模式和科技产品与社会的结合。工作邮箱:[email protected]

本篇来自栏目

解锁订阅模式,获得更多专属优质内容