重大Android安全漏洞影响数百万设备

谷歌Android合作伙伴漏洞倡议(APVI)网站上最近的一篇帖子揭示了一个重大的Android安全漏洞。泄漏导致三星、LG、小米和许多其他品牌的设备容易受到非常、非常危险的恶意软件应用程序的攻击。这些应用可以获得与操作系统本身相同级别的受影响设备访问权限。

该问题源于泄漏的平台证书。这些证书或签名密钥决定了设备上Android版本的合法性。供应商还使用这些证书来签署应用程序。虽然Android操作系统在安装时会为每个应用程序分配一个唯一的用户ID(UID)，但共享签名密钥的应用程序也可以拥有一个共享的UID，并可以访问彼此的数据。通过这种设计，使用与操作系统本身相同的证书签名的应用程序也可以获得相同的特权。

这里的问题是，有几家公司将他们的Android平台证书泄露给了错误的人。这些证书现在被滥用来签署具有与Android操作系统相同权限的恶意应用程序。这些应用程序无需用户输入即可在受影响的设备上获得系统级权限。因此，一旦设备上安装了载有恶意软件的应用程序，其制造商就可以从设备中获取他们想要的任何数据，而无需受害者意识到任何事情(通过)。

使用平台证书签署应用程序的公司使这种泄漏更加危险。不良行为者甚至不必创建新应用程序并诱骗潜在受害者安装这些应用程序。相反，他们可以简单地选择一个使用泄露密钥签名的应用程序，例如三星的BixbyRoutines和GalaxyWatch插件，向其中添加恶意软件，使用相同的密钥对其进行签名，并将其作为更新推送。当然，他们可以通过Play商店分发该应用程序，但即使用户旁加载恶意应用程序，Android也会相信它是合法更新。

据谷歌称，今年5月首次报道了这一Android安全漏洞。所有受影响的制造商都已经“采取了补救措施，以尽量减少泄漏对用户的影响”。但是，如果用户已经在他们的设备上安装了恶意应用程序，他们可能仍然容易受到攻击。最糟糕的是，一些恶意软件示例可能自2016年以来一直活跃。如果您使用的是旧版Android设备，我们建议您升级到正在接收安全更新的较新型号。您还应该避免旁加载应用程序，并始终从GooglePlay商店安装应用程序。

同时，谷歌建议Android供应商更换受损的平台证书并定期更换，以避免将来出现类似问题。公司还应避免使用平台证书对应用程序进行签名，以最大程度地降低风险。希望Android原始设备制造商根据这些建议采取行动，将用户隐私和安全放在首位。