不只网页，17 款安卓应用存在“心血”漏洞-低调大师

不只网页，17 款安卓应用存在“心血”漏洞

2017-06-07 647

据国外媒体的报道，美国安全软件供应商FireEye日前发布研究报告称，他们一共发现了17款存在“心脏流血（Heartbleed）”漏洞的Android应用，而这些应用的下载量累积超过1.5亿次。

FireEye 指出，在目前已经发现漏洞的这17款Android应用中，至少有6款宣称已经封堵该漏洞的应用仍然存在安全威胁。具体来说，该漏洞主要存在于Jelly Bean 4.1和4.1.1的Android版本之中。大部分用户通常情况下不会调用OpenSSL，所以也不会受到“心脏流血”漏洞的影响，但是如果设备上安装了调用OpenSSL的应用，并且该应用处于开启状态时，该设备就极有可能遭到黑客的攻击。

FireEye的研究团队表示，这些应用以游戏为主。虽然游戏中并没有太多有用的数据，但是有许多用户在玩游戏时通常会使用Facebook或Twitter的授权账户，所以黑客就有可能通过攻击某个游戏账户来获得更有价值的社交网络账户。

此外，在上述17款应用中，其中有6款宣称已经封堵了“心脏流血”漏洞，但是在研究人员的实际测试中，发现这些应用所采用的封堵方法对于“心脏流血”漏洞来说是无效的，所以它们仍然存在严重的安全威胁。“实际上只有两款应用完全通过了漏洞测试，”研究人员在报告中表示，“尽管部分应用宣称自己不会受到漏洞的影响，但却未能通过我们的测试，所以我们认为这不过是开发者的广告宣传所需，实际上这些应用仍然存在安全威胁，而我们在报告中也对其进行了详细分析。”

FireEye 进行本次研究的截止日期为4月17日，所以目前受到“心脏流血”漏洞影响的应用数量可能已经有所下降，因为研究人员在4月10日进行首轮检测时，发现存在安全威胁的应用总下载量高达2.2亿次，“幸运的是，我们看到大部分开发者都非常重视这一漏洞，并且通过及时发布补丁对其继续了修复，”FireEye在报告中说道。

另据了解，就在上述报告发布的同一天，苹果针对iPhone和iPad进行了软件更新来修复可能存在的安全漏洞，同时也已经对AirPort Extreme路由器的固件进行了相关更新。

文章转载自开源中国社区 [http://www.oschina.net]

微信关注我们

原文链接：https://yq.aliyun.com/articles/116778

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

为什么你应该尝试 “全栈”

程序员看到“全栈”这个概念，大概会有两种反应卧槽，这个好，碉堡了你懂毛，全栈就是样样稀松以上两种反应其实都有失偏颇。因为即使只学一门技术，水平很菜的人也多的是，而全栈工程师当中样样都做，而样样都做得不错的也不少。更别说这个世界还存在另外一种爆栈型的程序员，做什么，什么都精。从我的个人实践出发，全栈学徒至少要掌握以下几种技能： Web 前端开发，至少掌握一种前端框架； Server 后端开发，至少掌握一种后端框架； Server 运维，掌握 Linux Server 的搭建与维护；客户端开发，iOS 和 Android 至少掌握一种；数据库，掌握 SQL 和 noSQL 数据库。而获得全栈这个称谓则应该至少独当一面的一个人完成一款产品的构建，并且真的经历过商业化运作，以及，被自己的愚蠢坑过无数次。由此可见，全栈的门槛还是挺高的，并不是说掌握以上五种技能，就能称为全栈，至少要加个学徒来修饰一下，也正是因为太多学徒自诩全栈，才令旁人觉得“全栈”就是“样样稀松”的同义词。不过，这篇文章的题目是 —— 为什么你应该尝试全栈，所以我想讨论的并不在要不要做全栈，而是尝试。外行与内...

2017-06-08

556

安全公司 Zimperium 发现了一个影响9.5亿 Android 设备的严重漏洞 Stagefright，攻击者可利用特制的彩信控制目标手机，整个过程不需要机主操作。Zimperium 研究员 Joshua Drake 递交的补丁经 Google 审查后已经推送给 Nexus 设备。但另一家安全公司 Exodus 的研究人员发现，Stagefright 补丁不完整，没有正确处理32位和64位整数之间的差异，补丁对32位长度有效，但在某些情况下对64位长度无效。Google 已经释出了新的补丁，并计划在下个月的 OTA安全更新中推送给 Nexus 设备。安全公司 MWR Labs 的研究人员在 Android Admin 应用（com.google.android.apps.enterprise.cpanel）中发现了一个新0day漏洞，允许恶意应用绕过沙盒机制的限制读取任意文件。文章转载自开源中国社区 [http://www.oschina.net]

2017-06-08

622

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。