0fb870b37833dfe21271ccb31ff874b5 近期安全領域真是熱鬧,不斷爆出簡易入侵的漏洞問題,日前奇虎 360 專家於 Pwn2Own 駭客競賽中展示,Android 系統安裝最新版 Chrome 瀏覽器所出現漏洞,惡意網頁在不需使用者互動的情況下,便能夠任意安裝應用程式。相較過去入侵手法需要一連串配合動作,這次爆出的漏洞相當容易實行。

日前於日本東京舉辦的 Pwn2Own 駭客競賽,奇虎 360 安全研究人員 Guang Gong  於會場中展示,以相當簡單的方法入侵 Android 系統裝置,只需最新版 Chrome 瀏覽器和惡意網頁,就能夠在不需使用者參與互動的情況下,於裝置中取得管理者權限並安裝應用程式。

在會場上,Guang Gong 示範如何在不需使用者互動的情況下,入侵 1 台包含最新版 Chrome 瀏覽器的 Nexus 6 手機。按照過往慣例,在 Google 釋出修正之前並未公布此項漏洞細節與詳細操作方式,示範當下使用 1 款 BMX 腳踏車遊戲,但事實上能夠安裝任何想安裝的應用程式,包含惡意軟體。


▲Android 系統市占率相當高的 Chrome 瀏覽器,被爆出 JavaScript v8 引擎弱點,能夠讓惡意人士獲得裝置最高權限。

展示時近一步說明,此漏洞存在於近期比較新的 Chrome 版本,影響範圍包含所有的 Android 版本和裝置。此項漏洞主要由 Chrome 內部 JavaScript v8 引擎弱點所造成,由於 JavaScript v8 的關係,造成有心人士能夠獲得被害人裝置的管理者權限,等於是將裝置的門戶大開。

負責組織與舉辦 PacSec 的 Dragos Ruiu 說道,Guang Gong 所發現的漏洞令人印象深刻,近期所發現的問題需要多種弱點結合,才能夠不須使用者參與的狀況下安裝軟體,但這個單一漏洞已可獨立運作。

Google 的安全工程師已經收到這個問題回報,Dragos Ruiu 也說 Google 很有可能因為 Guang Gong 未將此問題細節公開,而獲得 1 份抓蟲獎賞。但像其他安全研究人員一樣,並非為了賞金而投入研究,而是因為興趣好玩以及宣揚駭客活動的正當性。

延伸閱讀

注意!Windows 出現漏洞,駭客可透過 PPT 檔案發動攻擊

iOS 8被發現重大漏洞,在路由器動手腳就能造成iPhone、iPad無限重開機崩潰

使用 Facebook 留言

發表回應

謹慎發言,尊重彼此。按此展開留言規則