安全播报

关于Android系统存在签名验证绕过高危漏洞情况的通报

编辑/作者:李木然 2013-07-15 我要评论

近日,CNCERT主办的国家信息安全漏洞共享平台 (CNVD)收录了Android操作系统存在一个签名验证绕过的高危漏洞(编号:CNVD-2013-28152)。攻击者利用该漏洞可以篡改合法应用程序...

  近日,CNCERT主办的国家信息安全漏洞共享平台 (CNVD)收录了Android操作系统存在一个签名验证绕过的高危漏洞(编号:CNVD-2013-28152)。攻击者利用该漏洞可以篡改合法应用程序的安装文件并植入恶意代码并绕过 Android系统数字签名验证,进而大规模传播手机恶意程序,对广大Android智能终端用户构成威胁。具体情况如下:

  一、漏洞情况分析

  Android操作系统对应用程序安装文件( APK文件)采用一套数字签名校验机制来确认安装文件的有效性和完整性,用于防范应用程序的篡改和伪造。根据测试情况,该套校验机制存在不完全校验设计缺陷,对应用程序安装包内相同文件名的多个文件仅执行一次数字签名验证,验证成功后就继续执行后续文件安装操作。攻击者可以精心构造同名恶意代码文件,使得应用程序既可通过Android系统的验证又可将恶意代码文件在安装过程中替换原有正常文件。

  二、漏洞影响范围

  CNVD对该漏洞的综合评级为“高危”。

  受该漏洞影响的Android系统版本包括Android 1.6至Android 4.2.2之间相关版本。CNCERT研判认为,随着漏洞信息的逐步披露和扩散,有可能被利用发起恶意程序制造和传播的大规模攻击活动,严重威胁Android智能终端用户安全。

  三、应对措施建议

  根据互联网上公开报道称,Android操作系统生产厂商——谷歌公司确认该漏洞的存在,但未公开漏洞的详细信息。CNCERT在获知漏洞情况后询问了国内部分Android系统手机厂商,相关厂商尚未针对该漏洞采取技术应对措施。相关建议如下:

  (一)手机厂商可自行对待出厂产品采取一些临时技术措施进行防范,同时对已售产品提供更新程序,以备用户自行下载或在线完成系统更新。

  (二)应用商店应加强应用程序安全检测,及时发现伪造合法签名的恶意程序。按照工业和信息化部《移动互联网恶意程序监测与处置机制》,配合CNCERT做好应用程序的鉴定和处置相关工作。

  (三)Android智能终端用户需提高警惕,避免下载不明来源或未知签名的应用程序,如发现应用程序存在恶意行为,请及时卸载并举报。

文章来源:未知

1.本站遵循行业规范,任何转载的稿件都会明确标注作者和来源;2.本站的原创文章,请转载时务必注明文章作者和来源,不尊重原创的行为我们将追究责任;3.作者投稿可能会经我们编辑修改或补充。4、对于网友投稿的文章请仔细核对其真实性,如遇要求汇款转账情况,请格外谨慎。

相关文章
  • 高通芯片漏洞高达400处,超10亿用户被攻击,黑客

    高通芯片漏洞高达400处,超10亿用户被攻击,黑客

  • 【安全通告】Apache SkyWalking SQL注入漏洞安全风险

    【安全通告】Apache SkyWalking SQL注入漏洞安全风险

  • 济宁网警提醒:手机被植入木马 这些人被盯上

    济宁网警提醒:手机被植入木马 这些人被盯上

  • 移动应用的“隐私之殇”:非法窃取用户信息再

    移动应用的“隐私之殇”:非法窃取用户信息再