写点什么

Android 的“Stagefright”缺陷置数亿用户于危险之中

  • 2015-08-24
  • 本文字数:1376 字

    阅读完需:约 5 分钟

在几个严重的缺陷被公开后,Google 已迅速采取应对措施安抚用户。

其中 Google Stagefright 媒体播放引擎的多远程代码扩展(Media Playback Engine Multiple Remote Code Execution)缺陷允许攻击者经彩信(MMS)向 Android 设备上的这个引擎发送媒体文件,以此发起攻击。而这个 Stagefright 引擎本身是负责处理多个流行的媒体格式的。

攻击者能窃取受感染手机上的数据,并挟持麦克风和摄像头。

Android 是当前最流行的移动操作系统,这意味着,数亿人手中运行着的Android 2.2 或更高版本的手机存在被攻击的危险。

Zimperium 的移动安全专家 Joshua Drake

一次成功的破坏性攻击,甚至能够在你看到这条彩信之前就自我删除了,你只会看到一条提示信息。这不像鱼叉式钓鱼攻击那样,受害者需要打开来自攻击者的 PDF 文件或链接。这个缺陷会在你晚上熟睡的时候就被触发,接着攻击者在你手机上做完手脚后,会清理掉所有痕迹后才离开。第二天醒来,你还是像往常一样玩手机——被植入木马的手机。

Zimperium 提到:“Google 迅速采取了措施,在 48 小时内就在内部代码分支上打了补丁,但是不幸的是,这只是个开始,因为要将补丁部署到用户的手机上还需要走漫长的流程。”

NPR 则报道,能否部署这个最新的补丁,就取决于Google 将最新的Android OS 交给智能手机/ 平板电脑厂商后,这些厂商是否愿意去更新或应用这个补丁了。

Silent Circle他们的Blackphone 在几周前就已经打了补丁。同样, CyanogenMod 在几周前,已经在 CM12.0 和 12.1 里打了补丁。而 Mozilla 也已经在 Firefox 38 里修复该漏洞。而一些手机厂商则还在等待官方的正式更新。

安全软硬件厂商 Sophos ,Google Nexus 手机的用户可能已经是安全的了,但对于其他厂商的产品,除非他们公开声明,否则还不能确定他们的手机是否已经打了补丁。而Zimperium 则对详细的统计报告暂时保密,直到8 月5 日的 Black Hat USA 大会的时候,才会公开。

Google Android 安全部门的首席工程师 Andrew Ludwig

更新补丁确实是最终的办法。但在整个安全技术的多层栈式体系中,它不应该是第一和唯一的一种安全手段。

对于高级缺陷利用的缓解技术,我持乐观态度,因为当补丁是唯一选择的时候,这些技术能帮助我们迅速定位并解决问题,保护用户的设备。我也希望能深入研究这些技术,并利用他们避免 Android 或其他平台被恶意利用。

要避免自己 Android 设备受到 Stagefright 缺陷的影响,用户首先要做的,就是在手机的信息类应用里禁用“自动获取”彩信和 Google Hangouts 这些选项。毕竟,该缺陷是存在于 Stagefright 媒体库里面,所以只有通过彩信才能发起攻击。

在 Google 将该缺陷等级定义为“高”后,Ludwig 就提醒: “人们通常有一个错误的假设,就是所有的软件Bug 都会被攻击者恶意利用。但事实上,大部分Bug 都不能被利用。”

此外,Google 已经宣布了他们的 Android 安全奖励计划,鼓励广大研究人员去验证那些可被利用的缺陷,对能够进行远程入侵的开发者,将奖励最高 30,000 美元奖金。

查看英文原文: Android ‘Stagefright’ Vulnerabilty puts Millions at Risk


感谢张龙对本文的审校。

给InfoQ 中文站投稿或者参与内容翻译工作,请邮件至 editors@cn.infoq.com 。也欢迎大家通过新浪微博( @InfoQ @丁晓昀),微信(微信号: InfoQChina )关注我们,并与我们的编辑和其他读者朋友交流(欢迎加入 InfoQ 读者交流群)。

2015-08-24 19:021761

评论

发布
暂无评论
发现更多内容

资金管理系统解决方案

低代码小观

资产管理 企业管理系统 资金安全 CRM系统 客户关系管理系统

带你了解2022两会黑科技:阿里云视频云「AI编辑部3.0」

阿里云视频云

云计算 阿里云 AI 音视频 视频云

科技筑基、高效实战:中科柏诚信云链正当时

联营汇聚

电路模型和电路定律 (Ⅱ)

謓泽

3月月更

从持续交付到业务创新(下):有效的业务创新

阿里云云效

云计算 阿里云 云原生 研发效能

python下载酷狗音乐上的歌曲,作为一个Python程序员你还不会JetPack

程序媛可鸥

Python 程序员 面试

web前端培训React合成事件原理解析

@零度

React web前端开发

隐私安全的必答题,网易云信如何解?

网易云信

隐私安全

打印总是遇到问题?一文教你如何在优麒麟上使用 CUPS 管理打印机

优麒麟

Linux 终端 优麒麟 打印机管理

中国企业的测试之道被美国学习了?

博文视点Broadview

JVM自定义类加载器在代码扩展性的实践

vivo互联网技术

JVM java 编程

JSON Schema 实现复杂结构表单数据展示

全象云低代码

前端 低代码 表单 JSON Schema

动态卡片:富媒体内容井喷式增长下,新一代移动端动态研发的模式

蚂蚁集团移动开发平台 mPaaS

ios android 前端 mPaaS 卡片技术

31岁的Python,蝉联年度编程语言排行榜冠军

JackTian

Python 编程 程序员 编程语言 后端

TSP 平台场景中的 MQTT 主题设计|车联网平台搭建从入门到精通 03

EMQ映云科技

开源 物联网 IoT mqtt emq

ModStartCMS模块化建站系统 v3.5.0 多图字段支持,系统优化升级

ModStart开源

技术平台&应用开发专题月 | 赋能企业业务快速创新,实现云原生自由

用友BIP

用友 用友iuap

龙蜥社区新增100+家合作伙伴,堡塔、东方通、宝德等头部企业均已加入

OpenAnolis小助手

开源 适配 合作伙伴 龙蜥社区 龙头企业

产品手册怎么做?用什么软件?

小炮

字节跳动流式数据集成基于Flink Checkpoint两阶段提交的实践和优化背景

字节跳动数据平台

大数据 flink 字节跳动 数据集成

大数据培训flink8 个高频面试实战题分享

@零度

大数据 flink

阿里巴巴开源大规模稀疏模型训练/预测引擎DeepRec

阿里云大数据AI技术

机器学习 深度学习 搜索引擎 分布式训练 推荐引擎

如何实现24小时客户服务

小炮

客户服务

云小课|如何实现数据跨链交互?

华为云开发者联盟

区块链 数据 跨链 数据跨链 可信跨链服务

阿里通过度量把发版过程的不确定变成确定-构建闲鱼版本持续交付管道及度量

阿里云云效

云计算 阿里云 DevOps 云原生 度量

6张图为你分析Kafka Producer 消息缓存模型

华为云开发者联盟

kafka 消息 Kafka Producer 消息缓存模型 消息缓存

ShardingSphere-Proxy 5.0 分库分表(一)

神农写代码

Python——Scipy库,熬夜整理华为最新Python笔试题

程序媛可鸥

Python 程序员 面试

Java培训基础高频面试题八股文分享

@零度

JAVA开发

从持续交付到业务创新(上):互联网时代研发效能的核心

阿里云云效

云计算 阿里云 云原生 研发效能 持续交付

金三银四的 Vue 面试准备

CRMEB

Android的“Stagefright”缺陷置数亿用户于危险之中_安全_James Chesters_InfoQ精选文章