來自印第安納Bloomington大學(xué)和微軟的研究人員發(fā)現(xiàn)了一個Android設(shè)備的嚴(yán)重缺陷，這個缺陷導(dǎo)致升級之后的Android設(shè)備有被惡意軟件感染的危險。
這種連環(huán)缺陷(通過升級提升權(quán)限)允許惡意軟件隨著系統(tǒng)的升級來提升自身的權(quán)限。
根據(jù)報告，“一個不懷好意的應(yīng)用可能會針對低版本的操作系統(tǒng)有策略地部署一些權(quán)限，直到它通過升級提升了在新版系統(tǒng)中的權(quán)限。需要特別說明的是，我們通過利用這些連環(huán)漏洞發(fā)現(xiàn)，這些應(yīng)用不僅可以獲取一系列新添加的系統(tǒng)、數(shù)字簽名的權(quán)限，還可以修改系統(tǒng)的設(shè)置(例如：保護等級)，而且能進一步替換新系統(tǒng)中的應(yīng)用，污染其他應(yīng)用的數(shù)據(jù)(例如：緩存、Android系統(tǒng)默認(rèn)瀏覽器的Cookies)從而偷取用戶敏感信息或者修改安全設(shè)置，甚至可以阻止系統(tǒng)關(guān)鍵服務(wù)的安裝?！?/P>
這使得惡意應(yīng)用程序可以獲得訪問語音郵件、短信、通話記錄和其他一些被惡意應(yīng)用程序控制的應(yīng)用的權(quán)限。
研究人員指出，“所有Android官方版本和超過3000個定制版本都會受到這個缺陷的影響，我們通過一個程序驗證工具系統(tǒng)性的分析了PMS(管理系統(tǒng))的源碼，并且確認(rèn)了所有Android官方版本和超過3000個定制版本存在這些安全缺陷。我們的研究還鑒定了上百種可利用的漏洞，這些漏洞可能被不懷好意者廣泛應(yīng)用于不同制造商、不同目標(biāo)人群和不同國家的上千種設(shè)備中。”
這些缺陷已經(jīng)報告給了谷歌，相關(guān)修復(fù)措施正在進行中。