沒有安裝最新版Android系統(tǒng)的手機(jī)用戶，或許會(huì)在 2015 年收到惡意黑客們的大禮。這是因?yàn)榕f版Android系統(tǒng)中的核心組成部分之一，不再獲得來自Google的安全更新。

在沒有公開警告受影響的 9.39 億用戶的情況下，Google決定停止向Android 4.3 及以下版本發(fā)布 WebView 工具的安全更新。這意味著有近三分之二的Android用戶無法獲得Google的安全支持。

WebView是什么？

WebView允許應(yīng)用在不打開另一個(gè)應(yīng)用的情況下顯示網(wǎng)頁。許多應(yīng)用和廣告網(wǎng)絡(luò)使用這一工具，甚至連Google Android團(tuán)隊(duì)也在其開發(fā)者文檔網(wǎng)頁渲染部分推薦使用該工具。Rapid7 工程經(jīng)理 Tod Beardsley 表示，WebView也是針對(duì)Android的遠(yuǎn)程代碼執(zhí)行漏洞攻擊所優(yōu)先考慮的地方，它對(duì)Android來說就像 Windows的 IE瀏覽器，都是攻擊者們?nèi)肭謺r(shí)最喜歡針對(duì)的目標(biāo)。

攻擊者喜歡WebView，是因?yàn)樗芘cAndroid其他組成部分互動(dòng)。安全咨詢師 Justin Clarke說道：“支持網(wǎng)絡(luò)技術(shù)以及 PhoneGap 等框架可以調(diào)用原生手機(jī)功能，是攻擊者針對(duì)WebView 工具入侵手機(jī)的主要原因之一?！?/p>

Android系統(tǒng)和 WebView 工具中不斷出現(xiàn)安全漏洞，使得缺乏更新的危險(xiǎn)程度更高。Rapid7 在其入侵測(cè)試工具包 Metasploit 中加入了無數(shù)漏洞利用方式。最新版 Metasploit 中包含了 11 種不同的 WebView 利用方式，白帽子和黑帽子們都可以輕易地利用這一工具來入侵Android系統(tǒng)。

報(bào)告漏洞還要附帶補(bǔ)丁，前所未聞

事實(shí)上，Google從去年末開始就打算停止安全更新的支持。Android安全團(tuán)隊(duì)成員在回復(fù)一次漏洞警告時(shí)表示：“如果 WebView受影響的版本低于4.4，我們通常不會(huì)自行開發(fā)補(bǔ)丁，不過我們歡迎其他人提交補(bǔ)丁以供參考。任何涉及 4.4 版本之前的安全漏洞報(bào)告如果沒有附帶補(bǔ)丁，除了通知 OEM 廠商外，我們也無能為力?！?/p>

也就是說，如果其他人不僅發(fā)現(xiàn)了問題還提供解決方案的話，Google可能會(huì)向 4.4 版本之前的Android系統(tǒng)推送 WebView 補(bǔ)丁。Google要求第三方研究人員在遞交漏洞報(bào)告時(shí)，提交補(bǔ)丁，這種做法前所未有。

Android是開源項(xiàng)目，從技術(shù)上講，任何人都能制作補(bǔ)丁，但這些補(bǔ)丁通過三星或 LG 等設(shè)備制造商分發(fā)的機(jī)會(huì)“近乎于零”。

10億用戶受牽連

此舉或與Google決定在Android 5.0 中“取消綁定”WebView有關(guān)。“取消綁定”后，用戶可以單獨(dú)通過Google Play自動(dòng)更新WebView。但更早之前版本的Android系統(tǒng)并不能這么做，要知道，只有不到 0.1% 的Android用戶升級(jí)到了 5.0。

也許不到 0.1% 的Android 5.0用戶會(huì)享受通過 Play商店升級(jí)WebView 所帶來的進(jìn)步，但另外99.9% 的用戶卻不能獲得瀏覽器補(bǔ)丁，如果有這個(gè)補(bǔ)丁的話。

盡管Google可以簡(jiǎn)單地建議用戶升級(jí)到 4.4 版本及以上，但不能否認(rèn)的是，大部分Android用戶由于缺少 WebView 支持將面臨更高的安全風(fēng)險(xiǎn)。根據(jù)Google的數(shù)據(jù)，目前Android手機(jī)數(shù)已達(dá) 15.624 億部，其中有 60.1% 的手機(jī)運(yùn)行 4.4 版本以下的Android系統(tǒng)，也就是說這一決定會(huì)影響 9.39 億用戶。

via forbes

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。