一张图片能导致数百万android手机被黑？-k8凯发游戏

谷歌今天发布了最新的android安全公告（android security bulletin），针对前一阵曝出的一系列漏洞做了补丁修复，比如说影响到9亿台设备、针对高通芯片的quadrooter漏洞——这也是本次android补丁修复漏洞的重点。

不过来自forbes的报道，实际上这次谷歌还修复了一个鲜为人知的漏洞，看起来也是相当危险：只要有人给你发一张照片，android手机就可能被入侵——在某些情况下，用户甚至不需要点击这张照片，手机自动对照片进行解析时，黑客就能远程控制android设备，或者令设备变砖。 

点开图片 手机就变砖

该漏洞编号为cve-2016-3862，实际上和先前著名的stagefright（只需要一条彩信就能控制受害者的手机）有些类似，或者说和前一阵苹果系统中的cve-2016-4631漏洞更像。不过这次的漏洞与图片的exif信息有关：数字图片除了自身呈现画面的数据之外，还附带有exif数据——比如这张照片是用什么设备拍的，照片拍摄所在地理位置、拍摄时光圈、快门分别是多少等等，这些信息就属于exif数据部分。

android系统中读写jpg图片exif扩展信息的api为exifinterface——在应用解析图片信息的过程中，该漏洞就能被恶意代码利用。任何使用了exifinterface类的android应用都可能触发此漏洞。来自安全公司sentinelone的strazzere表示，如gchat、gmail这些应用，用户在这些应用中打开图片文件，就可能导致设备崩溃，甚至“远程代码执行”，并在用户毫无察觉的情况下在系统中植入恶意程序，并进行全面控制。

“该漏洞不需要引起用户太多的注意就能触发，比如应用只需要以特定的方式来加载图片。触发的方式非常简单，包括接收一条消息或者电子邮件。只要应用对照片进行解析（这个过程是系统自动进行的），就会导致问题发生。”

“从理论上来说，攻击者可以在图片文件中构建恶意代码，感染大量设备…gchat、gmail和绝大部分其他消息通讯应用、社交网络应用都可能触发该漏洞。”不过strazzere并没有说明，究竟具体是哪些应用受到影响，只是说包括一些“隐私敏感”工具。 

若无法升级系统 请更换手机

forbes的这篇文章中并没有详述该漏洞的技术细节，我们从android安全公告中看到，谷歌对这个漏洞的归类为“mediaserver中的远程代码执行漏洞”，漏洞威胁等级为critical紧急级别。漏洞描述如下：

“mediaserver中的远程代码执行漏洞，攻击者通过专门构建的文件，在媒体文件和数据处理过程中，可致内存崩溃（corruption）。鉴于该问题可导致在mediaserver进程中进行远程代码执行，故将漏洞分级为紧急级别。”

谷歌这次发布的android系统9月补丁针对android 4.4.4及更高版本的系统（已经升级android 7.0的设备似乎是不受影响的），不过据说更老版本的系统也存在这一问题，只不过谷歌已不再支持早期版本的系统更新。strazzere特别针对android 4.2以及部分亚马逊kindle平板设备进行了试验，发现也都存在此问题。

所以strazzere的建议是，如果你的android手机过老，已经不能再进行系统升级了，那么只要你还在意安全性，就请换一部手机吧。运行android 4.4.4系统以上版本的nexus设备今天应该就会收到一波更新，其他oem厂商的android设备就需要等厂商和运营商的补丁推送计划了。

根据android系统bug奖励计划，strazzere获得了谷歌4000美元的奖励，不过据说谷歌还多奖励了另外4000美元给他。而strazzere则将这8000美元捐给了girls garage项目（为9-13岁的女孩准备的building计划）。