沒(méi)有安裝最新版Android系統(tǒng)的手機(jī)用戶(hù)，或許會(huì)在 2015 年收到惡意黑客們的大禮。這是因?yàn)榕f版Android系統(tǒng)中的核心組成部分之一，不再獲得來(lái)自Google的安全更新。

在沒(méi)有公開(kāi)警告受影響的 9.39 億用戶(hù)的情況下，Google決定停止向Android 4.3 及以下版本發(fā)布 WebView 工具的安全更新。這意味著有近三分之二的Android用戶(hù)無(wú)法獲得Google的安全支持。

WebView是什么？

WebView允許應(yīng)用在不打開(kāi)另一個(gè)應(yīng)用的情況下顯示網(wǎng)頁(yè)。許多應(yīng)用和廣告網(wǎng)絡(luò)使用這一工具，甚至連Google Android團(tuán)隊(duì)也在其開(kāi)發(fā)者文檔網(wǎng)頁(yè)渲染部分推薦使用該工具。Rapid7 工程經(jīng)理 Tod Beardsley 表示，WebView也是針對(duì)Android的遠(yuǎn)程代碼執(zhí)行漏洞攻擊所優(yōu)先考慮的地方，它對(duì)Android來(lái)說(shuō)就像 Windows的 IE瀏覽器，都是攻擊者們?nèi)肭謺r(shí)最喜歡針對(duì)的目標(biāo)。

攻擊者喜歡WebView，是因?yàn)樗芘cAndroid其他組成部分互動(dòng)。安全咨詢(xún)師 Justin Clarke說(shuō)道：“支持網(wǎng)絡(luò)技術(shù)以及 PhoneGap 等框架可以調(diào)用原生手機(jī)功能，是攻擊者針對(duì)WebView 工具入侵手機(jī)的主要原因之一?！?/p>

Android系統(tǒng)和 WebView 工具中不斷出現(xiàn)安全漏洞，使得缺乏更新的危險(xiǎn)程度更高。Rapid7 在其入侵測(cè)試工具包 Metasploit 中加入了無(wú)數(shù)漏洞利用方式。最新版 Metasploit 中包含了 11 種不同的 WebView 利用方式，白帽子和黑帽子們都可以輕易地利用這一工具來(lái)入侵Android系統(tǒng)。

報(bào)告漏洞還要附帶補(bǔ)丁，前所未聞

事實(shí)上，Google從去年末開(kāi)始就打算停止安全更新的支持。Android安全團(tuán)隊(duì)成員在回復(fù)一次漏洞警告時(shí)表示：“如果 WebView受影響的版本低于4.4，我們通常不會(huì)自行開(kāi)發(fā)補(bǔ)丁，不過(guò)我們歡迎其他人提交補(bǔ)丁以供參考。任何涉及 4.4 版本之前的安全漏洞報(bào)告如果沒(méi)有附帶補(bǔ)丁，除了通知 OEM 廠(chǎng)商外，我們也無(wú)能為力?！?/p>

也就是說(shuō)，如果其他人不僅發(fā)現(xiàn)了問(wèn)題還提供解決方案的話(huà)，Google可能會(huì)向 4.4 版本之前的Android系統(tǒng)推送 WebView 補(bǔ)丁。Google要求第三方研究人員在遞交漏洞報(bào)告時(shí)，提交補(bǔ)丁，這種做法前所未有。

Android是開(kāi)源項(xiàng)目，從技術(shù)上講，任何人都能制作補(bǔ)丁，但這些補(bǔ)丁通過(guò)三星或 LG 等設(shè)備制造商分發(fā)的機(jī)會(huì)“近乎于零”。

10億用戶(hù)受牽連

此舉或與Google決定在Android 5.0 中“取消綁定”WebView有關(guān)。“取消綁定”后，用戶(hù)可以單獨(dú)通過(guò)Google Play自動(dòng)更新WebView。但更早之前版本的Android系統(tǒng)并不能這么做，要知道，只有不到 0.1% 的Android用戶(hù)升級(jí)到了 5.0。

也許不到 0.1% 的Android 5.0用戶(hù)會(huì)享受通過(guò) Play商店升級(jí)WebView 所帶來(lái)的進(jìn)步，但另外99.9% 的用戶(hù)卻不能獲得瀏覽器補(bǔ)丁，如果有這個(gè)補(bǔ)丁的話(huà)。

盡管Google可以簡(jiǎn)單地建議用戶(hù)升級(jí)到 4.4 版本及以上，但不能否認(rèn)的是，大部分Android用戶(hù)由于缺少 WebView 支持將面臨更高的安全風(fēng)險(xiǎn)。根據(jù)Google的數(shù)據(jù)，目前Android手機(jī)數(shù)已達(dá) 15.624 億部，其中有 60.1% 的手機(jī)運(yùn)行 4.4 版本以下的Android系統(tǒng)，也就是說(shuō)這一決定會(huì)影響 9.39 億用戶(hù)。

via forbes

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。