电脑报官方论坛

 找回密码
 注册
查看: 7743|回复: 1

[安全预警] 高危Android漏洞绕过签名检测机制,篡改替换App [复制链接]

小小版主

成事不说,遂事不谏

Rank: 9Rank: 9Rank: 9

树叶
726
金币
26698
积分
2722

贡献勋章 SecurityExpert(病毒与安全)

发表于 2017-12-12 12:00:23 |显示全部楼层
Google 2017年12月的Android安全公告中提到了一个漏洞,该漏洞能让攻击者绕过应用程序签名验证并将恶意代码注入Android应用程序。移动安全公司GuardSquare的研究团队发现,该漏洞存在于Android操作系统读取应用程序签名的机制中。

漏洞编号
CVE-2017-13156

漏洞等级
高危(High)

影响范围
5.1.1

6.0

6.0.1

7.0

7.1.1

7.1.2

8.0

漏洞详情
      来自GuardSquare公司的研究人员表示,Android操作系统会在各个位置检查字节,以验证文件的完整性。对于APK和DEX文件,这些字节的位置是不同的,研究人员发现他们可以在APK中注入DEX文件,Android操作系统仍然会认为它正在读取原始的APK文件。
      这是因为DEX的插入过程不会改变Android检查完整性的字节,而且文件的签名也不会改变。研究人员把这个漏洞称为Janus。此外,由于更新后的应用程序会继承原来应用程序的权限,所以通过这种方法,恶意软件可以通过替换应用来获取敏感权限。Janus攻击的唯一不足之处在于,它不能通过在官方Play商店中推送恶意更新,攻击者必须让用户到第三方应用商店安装更新。根据GuardSquare的报告,Janus漏洞只影响使用v1签名方案签名的应用程序。使用签名方案v2签署的应用不受影响。另外,Janus仅影响运行Android 5.0及更高版本的设备
漏洞补丁
Google已经推送更新,其他厂商应该也会陆续推送。

如果您的问题得到解决,请修改标题加上“[已解决]”   在线病毒扫描

小小版主

随想

Rank: 9Rank: 9Rank: 9

树叶
0
金币
85866
积分
5663

月度优秀斑竹 软件名医(软件技术) 系统名医(操作系统)

发表于 2017-12-12 19:04:54 |显示全部楼层
其他厂商应该也会陆续推送
您需要登录后才可以回帖 登录 | 注册


感谢版主

Archiver|手机版|电脑报官方网站 ( 渝ICP备10009040号 

GMT+8, 2018-6-22 23:14

回顶部