又一个安卓漏洞被发现，影响55%的用户

Android的安全漏洞似乎永无止境。在发现Stagefright漏洞后，黑客仅用一条恶意编写的信息就可以感染数百万台Android设备……

 

影响超过55%的Android用户.

 

IBM的安全研究人员在Android平台上发现了一个新的权限提升漏洞，该漏洞可能允许没有特权的恶意应用程序可以成为“超级应用”，并帮助网络犯罪分子拥有该设备"。

被称为Android序列化漏洞，已分配CVE-2015-3825，影响安卓4.3及以上版本，包括安卓M的最新版本。

 

该漏洞存在于Android平台的一个名为OpenSSLX509Certificate，Android应用程序可以利用它来破坏system_服务器进程，并在Android设备上获得强大的系统级访问权限。

 

在一段视频中，研究人员展示了概念验证攻击，展示了他们如何使用恶意应用程序利用该漏洞，并用真正的Facebook应用程序替换它，从而窃取社交网络登录凭据。

 

一旦用户在没有明显特权的情况下运行该应用程序，它就会下载额外的代码来覆盖现有应用程序，并加载一个用于使用该漏洞升级权限的漏洞。

此外Android序列化漏洞，安全研究人员还发现了一系列第三方Android软件开发工具包（SDK）中的其他漏洞，这些漏洞可能允许黑客从使用这些SDK的应用程序中执行远程代码。

 

IBM早在发布之前就将该漏洞通知了谷歌的安全团队，随后发布了一个补丁。然而，大多数安卓用户短期内不会收到补丁。

 

你可以从发表的论文中找到更多细节。

 

此漏洞是最近发现的Android漏洞列表中的最新漏洞。

 

上周，研究人员在预装安卓系统的“远程支持工具（mRST）”插件中发现了一个严重的Certifi Gate漏洞，该漏洞允许恶意应用获得非法的特权访问权限，即使该设备没有根。