不只网页，17 款安卓应用存在“心血”漏洞

据国外媒体的报道，美国安全软件供应商FireEye日前发布研究报告称，他们一共发现了17款存在“心脏流血（Heartbleed）”漏洞的Android应用，而这些应用的下载量累积超过1.5亿次。

FireEye 指出，在目前已经发现漏洞的这17款Android应用中，至少有6款宣称已经封堵该漏洞的应用仍然存在安全威胁。具体来说，该漏洞主要存在于Jelly Bean 4.1和4.1.1的Android版本之中。大部分用户通常情况下不会调用OpenSSL，所以也不会受到“心脏流血”漏洞的影响，但是如果设备上安装 了调用OpenSSL的应用，并且该应用处于开启状态时，该设备就极有可能遭到黑客的攻击。

FireEye的研究团队表示，这些应用以游戏为主。虽然游戏中并没有太多有用的数据，但是有许多用户在玩游戏时通常会使用Facebook或Twitter的授权账户，所以黑客就有可能通过攻击某个游戏账户来获得更有价值的社交网络账户。

此 外，在上述17款应用中，其中有6款宣称已经封堵了“心脏流血”漏洞，但是在研究人员的实际测试中，发现这些应用所采用的封堵方法对于“心脏流血”漏洞来 说是无效的，所以它们仍然存在严重的安全威胁。“实际上只有两款应用完全通过了漏洞测试，”研究人员在报告中表示，“尽管部分应用宣称自己不会受到漏洞的 影响，但却未能通过我们的测试，所以我们认为这不过是开发者的广告宣传所需，实际上这些应用仍然存在安全威胁，而我们在报告中也对其进行了详细分析。”

FireEye 进行本次研究的截止日期为4月17日，所以目前受到“心脏流血”漏洞影响的应用数量可能已经有所下降，因为研究人员在4月10日进行首轮检测时，发现存在 安全威胁的应用总下载量高达2.2亿次，“幸运的是，我们看到大部分开发者都非常重视这一漏洞，并且通过及时发布补丁对其继续了修复，”FireEye在 报告中说道。

另据了解，就在上述报告发布的同一天，苹果针对iPhone和iPad进行了软件更新来修复可能存在的安全漏洞，同时也已经对AirPort Extreme路由器的固件进行了相关更新。

文章转载自 开源中国社区 [http://www.oschina.net]