Android没救了？新漏洞竟由OEM预装

2015-08-09 18:02

据Yahoo新闻消息，安全研究员发现Android新漏洞Certifi-gate，并表示该漏洞在所有 OEM 厂商的设备中都有出现。

Android最近确实比较惨，在过去2周时间里，它至少被发现了2个严重漏洞。现在，来自安全公司Check Point的Ohad Bobrov和Avi Bashan又发现了一个新的漏洞：Certifi-gate。据说，这个漏洞在所有OEM厂商的设备中都有出现，它让第三方程序插件通过Remote Support得到存取权限，控制设备的屏幕和使用OEM发出的授权证书。
据悉，这两位安全研究人员发现mRSTs（移动远程支持工具，能够远程访问手机、录制用户输入内容并截图）所表现出来的功能与一款叫作mRATs（移动远程访问木马）的恶意软件非常相似，最大的区别只是是否出于犯罪目的而开发。mRATs则需要用户安装才会发挥功效，而mSRTs却是由OEM预装。

由于mSRTs不仅拥有强大的功能且极富攻击性，软件需要获得特别权限并由OEM签署才行。于是，软件就被分成了“用户实际看到的软件”和“提供权限的后端插件”两部分，当需要获得特别权限时，软件要先连接到插件（插件即便在没有安装该类型软件的手机上也可能已包含）。
mSRTs的诞生即是为了让软件向插件发送权限请求。然而，商家在Android的Binder上开发了自己的认证工具，这些工具却没有属于自己的认证流程，问题就在于此。研究人员可以通过这一双重性利用插件的强大功能获取访问设备的权限，而根据研究员的说法，作为使用者无法让授权证书失效。
Check Point技术领导人物Avi Bashan透露，此漏洞是源自Android的安全结构问题，OEM们所开发的遥距控制工具让这漏洞被揭露，因为Android设备的更新周期相距较长，这些严重的漏洞未必能在短期内被完全修补。据说，这回三星、HTC、LG、华为、联想一个都没跑儿，而谷歌旗下的Nexus设备则未受波及。
当下最好的解决方案也许就是为插件和软件之间的连接开发出一套更好的验证系统。当然啦，要是对拍砖游戏有特别好感的话各位也可以自行想办法解决……

共有评论0条

相关推荐

谷歌 Android XR 智能眼镜 Martha 及配套应用曝光
首款Android XR设备：三星Project Moohan头显亮相
谷歌宣布于I/O大会前一周举办特别节目，提前揭秘Android 16创新功能
逐步抛弃Android，消息称亚马逊智能电视将用Vega OS取代
Android 16 将全面上线防盗功能“身份检查”
谷歌发布Android XR操作系统，开启混合现实新篇章
Android 16的首个预览版已放出，Pixel 6系列及更新机型用户可体验
谷歌请求法院暂停执行 Epic 诉讼判决，称其危及 Android 安全
谷歌推出Android跨设备共享功能：实现无缝切换与热点共享
Android应用KineStop可缓解晕车，比iOS 18功能更早推出
Android 15稳定版8月登场：谷歌Pixel 9全球首发
招聘显示：苹果的TV应用未来可能会登陆Android
消息称华为2024年下半年全面转向其自主平台鸿蒙彻底放弃Android
谷歌发布Android 14 QPR3 Beta 2.1，修复大量Bug
过气“安卓一哥”新机上市，高价低配狠收智商税？
消息称动视暴雪曾计划建立自家Android游戏应用商店，收取10%至12%交易费
谷歌正在为Android系统开发“时间轴定位”功能记录用户位置历史信息
谷歌高管确认：Android 14将支持卫星连接功能
Android 13 Beta 4.1 推送，进行稳定版前的最后润色
谷歌从Android移除大量Fuchsia相关代码
诺基亚 X20 获得首个 Android 13 开发者预览版
Android 13发布！小米官宣首批支持机型
安兔兔 4月Android 手机性能榜：蓝厂成为最大赢家
LG V60 ThinQ 美版推送 Android 12 更新
Android 14 首次曝光，代号“翻转蛋糕”
消息称 Android 13 将原生支持单芯片开通多张 eSIM 卡
64GB小存储手机有救了！Android新功能上线：可释放60%存储空间
Google公布Android 12L操作系统，针对折叠屏和平板作优化
谷歌确认，Android 12L 将首批登陆三星、联想和微软设备
Android 13 新功能曝光：锁屏界面直接扫描二维码，一键流转音频
Android副总裁：不要求苹果推Android版iMess
谷歌 Android Auto 正在测试双 SIM 卡智能手机支持功能
一批Android网银木马躲过官方应用商店检测清理前下载量
其它厂商手机有望用上 Android 12 动态颜色主题功能
Android 12翻车！系统崩溃、续航缩水、bug太多
Android版Google Chrome浏览器将允许用户默
10月1日开始！Android拒绝让步：将强制执行收费
Android 11 正式发布！谈谈新系统不为人知的变化
为小内存手机设计！Android 11 Go亮相晚些时候推送
谷歌正式发布Android 11 即将登陆小米OPPO一加
谷歌呼吁Android开发者为5G时代做好准备：提及四大增强体验
谷歌回应安卓将限制第三方相机应用：担心位置信息泄露
谷歌新款Android TV电视棒有望今年发布售约80美元
vivo现可尝鲜Android 11开发者预览版，支持两款机型
一加8手机Android 11 Beta代码显示：全新冰蓝配
谷歌 Android 11 将强制应用支持本地备份
TCL宣布首次在美国销售 Android TV 智能电视
Android 11将对5G信号划分三六九等：运营商的套路一眼便知
运行Android的微软Surface Duo仍有望今年发布
Android版YouTube将印度最大视频流质量限制为480p
安卓11第二个开发者预览版:支持折叠机铰链角度检测
Android安全警告：10亿台设备将不再获得更新
谷歌提前发布Android 11开发者预览版，更关注隐私
Android 11新改进：取消视频录制文件4GB大小限制
Android之父公开新手机照片，长条形状酷似遥控器
谷歌迫使制造商在Android 10中隐藏自家手势导航
Google开发者大会：更新Android 10 推出Flutter 1.9
最终版Android 10发布谷歌争取年内登陆更多设备
谷歌官方：9月3日向用户推送Android 10.0正式版
iOS设备Q2在美欧市占皆下滑 Android设备在增长
超千款应用强行收集数据谷歌称安卓Q版本能解决
Android Q改进手势从屏幕两侧向内滑动即可后退
鸿蒙OS要取得市场成功，华为首先需要回答好这三个问题
Android:现有华为设备可继续使用Google Play等服务
Android Q体验版就位除Pixel还有15款手机能尝鲜
谷歌推出Android Q第二个测试版添加折叠屏模拟器
5G时代Android存储空间五大难题即将解决
Android告急！谁会从Google手中抢走Android？
Twitter因软件缺陷意外公开Android用户隐私推文
Instagram将允许用户将帖子同时发布到多个帐户
Android之父Essential手机宣布停产专注研发新产品
SQLite大漏洞！所有Chromium浏览器中招
微软登录系统存在漏洞：用户Office帐号受影响
Android收费，皮蔡领导下的Google重塑价值观？
谷歌正式就欧盟43亿欧元Android反垄断罚款提起上诉
安卓十年：移动操作系统半壁江山
Windows 10被曝漏洞：受害者电脑沦为“肉鸡”
想给安卓手机多打洞？谷歌马上就不高兴了
传欧盟裁定Android存垄断行为或开110亿美元天价罚单
赚了3.6万美金只因一个漏洞，靠“挖洞”真的能致富吗？
滴滴顺风车出事，打破了阿里高德的如意算盘？
倒退还是进步？谷歌自研Fuchsia将兼容Android应用
Android被裁定侵权谷歌或需赔偿甲骨文数十亿美元
谷歌弃守平板追赶iPad，Android P停止支持Pixe
美国iPhone用户集体状告苹果：A系列处理器存漏洞
被英特尔漏洞吓怕云服务提供商考虑选择可替代芯片
七问英特尔芯片高危漏洞: 为何主流系统设备全中招
英特尔芯片漏洞背后的故事: 研究员曾不相信
苹果: 所有Mac和iOS设备都受英特尔芯片漏洞影响
英特尔CPU被曝存在安全漏洞修复后的补丁将降低PC速度
谷歌语音助手: 适用于Android 5.0以上的设备
新版iOS 11出现HomeKit漏洞, 苹果紧急修复
苹果HomeKit曝漏洞黑客能控制你家的电器门锁
英特尔ME漏洞持续发酵: 多家厂商禁用相关技术
苹果新漏洞: macOS系统无需密码即可解锁电脑
macOS出现最大漏洞无需密码就能解锁系统
安卓又现新漏洞 41%设备可通过Wi-Fi网络被攻击
换道Face ID！留给Android厂商的时间不多了
新手机公司泄露用户信息：“Android之父”致歉
无所不用其极！盘点流氓App驻留后台的奇技巧
谷歌正式宣布将Android 8.0命名为Oreo
百度或陷搜索漏洞危机：新闻搜索结果极不稳定
Android O之后一加3/3T再无重大系统升级
科技晚报：《战狼2》跻身全球票房前100名HTC连续九个季度亏损
多方消息证实Android O将在8月21日正式发布
法德两国将封堵税收漏洞苹果恐又将补交税款
一部Android设备指的是什么？
不把用户当上帝巨头也会惨败，WP惜死的教训
黑莓允许开发者将通讯软件BBM植入iOS和Android应用
Uber利用法律漏洞在英国避税被指不公平竞争
谷歌和奥迪、沃尔沃合作，将 Android 和语音助理融入汽车系统
OPPO R9系手机曝致命漏洞指纹和密码瞬间失效
两大支付对手化敌为友：Android Pay与PayPal合作
谷歌与俄罗斯就Android垄断案达成庭外和解
苹果企业账号遭滥用：iOS漏洞“留出”赌博应用通道
共享单车还没盈利，漏洞倒是滋生了灰色产业连
共享单车还没盈利，灰色产业链已经形成
漏洞百出！三星Tizen被指最烂代码
京东直赔出现漏洞：多个网店卖家被坑
科技晚报：预览版Android O可能叫“奥利奥” iTunes 12.6支持跨设备电影租借观看
谷歌又在欧盟被投诉：指控Android不正当竞争
Uber漏洞现已修复免费打车的梦已碎
苹果用户该慌了！iCloud漏洞能恢复删了一年浏览记录
谷歌加强控制Android，华为该推自家OS了
76款iOS人气应用被曝存漏洞你用的安全吗
Android之父鲁宾：成立公司任CEO,对抗苹果做高端机
支付宝回应修改密码漏洞：仅在特定情况下才会实现
支付宝现重大漏洞：知晓熟人信息可篡改密码
明年Android生态将走向何方？这七大趋势给你答案
Android市场份额增长的背后：选择多样价格竞争力强
发布已有三个月 Android 7.0渗透率仅为0.4%
iOS 10现重大漏洞：iphone手机密码如同虚设
魅力下降？Android用户购买iPhone 7比例下降
Android大战iOS 苹果表现欠佳华为紧追不舍力超三星
谷歌推独立Android Auto，鸡肋到底，还是别有用心？
谷歌公布Windows重大漏洞引微软大不快
谷歌将推出Android 7.1开发者预览版有啥新功能
CM 系统之父被架空：第三方 Android 的穷途末路
Google为什么致力推进Chrome OS和Android进行融合?
现在安卓机真的有必要配6GB内存吗？
电信诈骗频频发生监管漏洞成“帮凶”
谷歌放弃Nexus手机品牌或标注“G”强化自身品牌价值
iPhone 存高危漏洞秒变木马，幕后间谍公司惨遭曝光
世界上第一台预装 Android 7.0 的手机竟然不是 Nexus！
科技晚报：高通CPU现漏洞影响全球，Facebook换算法打压标题党
苹果宣布：找系统漏洞奖励20万美元！
科技晚报：特斯拉要造电动巴士，BBC将用VR转播里约奥运会部分赛事
手机业务一蹶不振的黑莓，要走诺基亚的套路了
苹果明码实价收购安全漏洞：最高开价200000美元
5英寸谷歌亲子Nexus S1现身：骁龙820、4G+32G
安卓7.0原生相机“新”功能曝光：手动拍摄模式归来
爆料大神：安卓7.0正式版8月发布
Nexus 6P用户提前收到安卓7.0“准正式版”推送：然而是个乌龙
华为P9安卓7.0固件流出：Android N升级速度将完虐棉花糖？
华为P9 EMUI 5.0刷机包下载泄露：基于Android 7.0
中石油加油站管理漏洞：买大米开出汽油发票
就凭这6点 Android 7.0必将完爆iOS 10
原生安卓首次加入垃圾号码识别国产UI笑了
战Android：Cyanogen缘何“给自己脑袋一发子弹”？
iOS 9最新安装量曝光！羡煞安卓
史上最严重移动端漏洞现身：可控制所有手机！
安卓7.0有哪些优点？谷歌工程师这样说
安卓7.0再曝：系统安全是亮点！
拼游戏下载量：iOS遭Android彻底碾压
谷歌发布Android 7.0最终预览版所有人可下载使用
找寻难度爆表！Android 7.0准正式版内置“猫”彩蛋曝光
准正式！Android 7.0最后一版预览开放下载：速度狂飙
Android 7.0即将“上市” 这些新功能你应该知道
Android 7.0推送时间曝光！应用运行快6倍
Android 6.0发布了9个月市占率仅为13.3%
Android Pay上线澳大利亚，离进入中国还有多远？
全球手机聊天应用分布：Facebook阵营占绝对主导地位
FCA发动黑客查找汽车软件漏洞论功行赏
Android Pay在澳大利亚上线，离进入中国还有多远？
微软总算修复Windows存在20年的漏洞
微信支付存在三大漏洞，账户支付难防洗钱风险
亚马逊平台中国山寨品泛滥，存在诸多可怕漏洞
97%的App都有漏洞，平均每个App有87个漏洞
从 BlackBerry 10 到 Android，黑莓手机的英雄末路与垂死挣扎
《最终幻想7》登陆安卓平台售价16美元准备剁手吧
这些手机可以升级至谷歌Android Nougat系统
主打低端谷歌携夏普推Android One新机
三星Galaxy Note 7现身：配Android 7.0
终于来了！Android 7.0升级设备名单公布
8500万台安卓手机感染病毒，幕后黑手是一家中国公司
优信二手车检测形同虚设：漏油、发动机被拆过
安卓画风浓烈的iOS10要来了，苹果也要随大流？
手机号遭克隆卡内15万元被转走漏洞在哪里？
Android让谷歌赚了210亿美元激活智能手机超30亿部
继欧盟后美国政府再对谷歌Android发难
移动业务漏洞凸显银行卡泄密规模200亿
欧盟Android反垄断调查提速或未来数天向谷歌下手
iOS 9.3连出三个漏洞苹果到底怎么了
iOS 9.3连出三个漏洞苹果到底怎么了
谷歌打败专利流氓：躲过近亿罚金
甲骨文就谷歌Android侵权索赔93亿美元
Android再爆安全漏洞 2.75亿台设备受影响
Android N代号曝光最终是啥还不确定
委屈＋卖萌？手机应用商店是这么撕逼的
亲儿子来了？传安卓系统创始人要自己开发手机
在携程支付成功为何酒店却无入住信息？
网易邮箱风波不停，多起问题引争议
为确保安全运行，谷歌Android Pay不支持已Root手机
Android Pay正式启用，支付宝们还好吗
Eat24使出“跨界杀”：iPhone用户比Android用户更健康
微软认怂了，将降低三星等厂家的专利费
Surface劲敌来了，三星将推Win10平板
印度之后，小米下个月进军非洲
宝马奔驰也中招，能被黑客远程控制
Android M正式名称将揭晓，哪款甜品是你的菜？
小米说MIUI 7和Android版本没有对应关系，你买账吗？
50美金的谷歌Android one手机是怎么弄出来的？
把你家汽车开到沟里，黑客是如何办到的？
黑莓也要弯了！首款Android机谍照曝光
手机“白送”，二代Android One只要200-300元
谷歌为什么还不放弃 Android One ？
Android手机指纹识别功能巨大漏洞被曝光
教你一招，揪出“劣质”智能电视
尽管没人关心，黑莓还是发布了新款手机
iPhone在美市占率增长至43.5% Android降至52.1%
Android里有个安全炸弹，是Google埋的
Android M版本号确定，并不是Android 6.0
诺基亚想重返智能手机市场，可谓困难重重
6亿部三星手机，可能因键盘漏洞受到影响
你知道吗：Android Wear应用超四千用户体验提高
从谷歌I/O大会来看，Android Wear如果失败了，请默哀
竞争谷歌，三星抛弃Android的计划最终成型
联想电脑被曝存在重大漏洞黑客可绕开验证执行任意指令
Windows 10兼容Android应用是否为明智之举？
iOS 8重大漏洞：iPhone连假Wi-Fi后恐瘫痪
30余省市社保系统漏洞背后网络安全如何攻防？
阿里安全称发现安卓WiFi漏洞：黑客可远程攻击
一号专车软件或存漏洞：坐车18分钟收费710元，时速553公里超动车？
Android Wear前所未有大更新，与Apple Watch争夺激烈
约1500项iOS应用存漏洞,可能会导致黑客截获用户的加密信息
Android Wear更新：谷歌一心追赶苹果担心被甩掉
报告：俄黑客组织利用Flash和Windows系统中漏洞获取其他国家政府的信息
有人巧妙利用谷歌地图产品的漏洞，炮制了斯诺登藏匿于美国白宫这宗“闹剧”
“云路由”存漏洞，黑客轻易可获取用户网银密码等隐私
如果没有Android，互联网人口也许会少一半
专家声称发现了一个长期影响所有Windows版本的僵尸漏洞
Facebook将追踪未注册用户一事全推脱为有系统漏洞？
神州专车存漏洞：用“阿里小号”APP可逃款
滴滴打车被曝漏洞：专车到底靠不靠谱？
滴滴打车漏洞曝光：可轻易更改车牌号
滴滴打车被曝有漏洞易遭黑车利用
Android系统想要更进一步，还需要向iOS系统学习五点
程序员发现YouTube漏洞可删除所有视频
Windows Phone兼容Android，打入敌人内部
你希望WP 兼容 Android 应用这个消息成真吗？
天河一号超级计算机集群存漏洞:上百账号或泄露
14年程序安全漏洞研究报告：谷歌旗下chrome漏洞最多！
三星“后手机时代”：电视崛起，构建新生态叫板Android
用户发现WP8.1浏览器存在重大漏洞，密码易泄露
细数那些坑了大家很久的路由器漏洞
OpenSSL漏洞频现，软件维护小组却依旧淡定
苹果证实：iOS 8.2更新已修复太极越狱漏洞
美国手工艺电商Etsy申请上市，为何受到“中国制造”的威胁？
搜狗浏览器不存在漏洞某数字公司再败诉
为何说iPhone用户比Android用户更聪明？
中联通被曝漏洞或致用户通话记录等信息泄露
网曝中国联通某系统漏洞可导致一系列信息泄漏风险
中联通被曝漏洞或致用户通话记录等信息泄露
挑战苹果，Android 5.0正在颠覆企业市场
低端机销量惨淡，谷歌要怎样收回Android控制权
Android是现在，Chrome是未来
安卓的大腿不好抱，Lumia引入Android只是自寻死路
智能手表只是科技公司的一厢情愿
Android One：联发科将不再是噩梦
谷歌为何要涉水千元机，推出Android One
谷歌Android L尚未解决的三大问题
细数Android TV的诸多槽点
微信支付存在巨大漏洞嘀嘀打车出现重复消费

<返回

<返回首页