允許惡意軟件繞過應用程序簽名！谷歌Android系統(tǒng)又曝新漏洞

　　12月12日消息 作為全球用戶最多的智能手機操作系統(tǒng)，Android系統(tǒng)的安全問題一直是人們關注的焦點！而據外媒最新消息顯示，Google公司在今年12月份的Android系統(tǒng)安全公告中公布了一個新的安全漏洞，該漏洞不僅允許惡意攻擊者繞過應用程序的簽名，還可以將惡意代碼植入Android應用程序。

　　報道稱，移動安全公司GuardSquare的研究團隊發(fā)現，該漏洞駐留在Android系統(tǒng)用于讀取應用程序簽名的機制中。

　　GuardSquare的研究人員表示，Android系統(tǒng)會在APK或DEX文件的各個位置少量檢查字節(jié)，以驗證文件的完整性，對于APK和DEX文件來講，這些字節(jié)的位置是不同的。研究人員發(fā)現，他們可以在APK中注入一個DEX文件，而Android系統(tǒng)仍會認為它正在讀取的是原始的APK文件。

　　之所以會發(fā)生這種情況，是因為DEX的插入過程不過改變Android系統(tǒng)將要檢查的用于驗證文件完整性的字節(jié)，而且文件的簽名也不會改變。

　　在現實中，這個漏洞（GuardSquare將其命名為Janus）將允許攻擊者在有效的Android應用程序更新（APK文件）中注入惡意的DEX文件。

　　此外，由于更新后的應用程序繼承了原始的應用程序的權限，因此，通過這種方法侵入你的Android手機的惡意程序可以冒充合法的應用程序輕松地獲得非常敏感的訪問權限。

　　Janus攻擊的唯一不足之處在于，它不能通過由Google Play商店分發(fā)的更新感染到你的Android設備，要讓用戶中招，惡意攻擊者只能誘騙用戶訪問第三方應用商店，并誘使用戶安裝遭受過感染的應用程序的更新以代替合法的應用程序。

　　GuardSquare表示，Janus漏洞只影響采用V1簽名方案的應用程序，采用V2簽名方案的應用程序不受影響。另外，Janus漏洞僅影響運行Android 5.0及更高版本Android系統(tǒng)的設備。

　　據了解，那些受官方支持的Nexus和Pixel設備的用戶，很快就可以收到修復該漏洞的安全更新補丁了。至于由OEM制造的Android設備將在何時修復這一問題，用戶們恐怕就只能耐心等待OEM的計劃和安排了。