提交成功，感謝您的反饋！
窗口將于5秒鐘后關(guān)閉提交成功，感謝您的反饋！
窗口將于5秒鐘后關(guān)閉近日，CNCERT主辦的國家信息安全漏洞共享平臺 （CNVD）收錄了Android操作系統(tǒng)存在一個簽名驗證繞過的高危漏洞(編號：CNVD-2013-28152)。攻擊者利用該漏洞可以篡改合法應(yīng)用程序的安裝文件并植入惡意代碼并繞過 Android系統(tǒng)數(shù)字簽名驗證，進(jìn)而大規(guī)模傳播手機(jī)惡意程序，對廣大Android智能終端用戶構(gòu)成威脅。具體情況如下：
一、漏洞情況分析
Android操作系統(tǒng)對應(yīng)用程序安裝文件（ APK文件）采用一套數(shù)字簽名校驗機(jī)制來確認(rèn)安裝文件的有效性和完整性，用于防范應(yīng)用程序的篡改和偽造。根據(jù)測試情況，該套校驗機(jī)制存在不完全校驗設(shè)計缺陷，對應(yīng)用程序安裝包內(nèi)相同文件名的多個文件僅執(zhí)行一次數(shù)字簽名驗證，驗證成功后就繼續(xù)執(zhí)行后續(xù)文件安裝操作。攻擊者可以精心構(gòu)造同名惡意代碼文件，使得應(yīng)用程序既可通過Android系統(tǒng)的驗證又可將惡意代碼文件在安裝過程中替換原有正常文件。
二、漏洞影響范圍
CNVD對該漏洞的綜合評級為“高?！薄?/FONT>
受該漏洞影響的Android系統(tǒng)版本包括Android 1.6至Android 4.2.2之間相關(guān)版本。CNCERT研判認(rèn)為，隨著漏洞信息的逐步披露和擴(kuò)散，有可能被利用發(fā)起惡意程序制造和傳播的大規(guī)模攻擊活動，嚴(yán)重威脅Android智能終端用戶安全。
三、應(yīng)對措施建議
根據(jù)互聯(lián)網(wǎng)上公開報道稱，Android操作系統(tǒng)生產(chǎn)廠商――谷歌公司確認(rèn)該漏洞的存在，但未公開漏洞的詳細(xì)信息。CNCERT在獲知漏洞情況后詢問了國內(nèi)部分Android系統(tǒng)手機(jī)廠商，相關(guān)廠商尚未針對該漏洞采取技術(shù)應(yīng)對措施。相關(guān)建議如下：
（一）手機(jī)廠商可自行對待出廠產(chǎn)品采取一些臨時技術(shù)措施進(jìn)行防范，同時對已售產(chǎn)品提供更新程序，以備用戶自行下載或在線完成系統(tǒng)更新。
（二）應(yīng)用商店應(yīng)加強(qiáng)應(yīng)用程序安全檢測，及時發(fā)現(xiàn)偽造合法簽名的惡意程序。按照工業(yè)和信息化部《移動互聯(lián)網(wǎng)惡意程序監(jiān)測與處置機(jī)制》，配合CNCERT做好應(yīng)用程序的鑒定和處置相關(guān)工作。
（三）Android智能終端用戶需提高警惕，避免下載不明來源或未知簽名的應(yīng)用程序，如發(fā)現(xiàn)應(yīng)用程序存在惡意行為，請及時卸載并舉報。
