Android 2.3將修復(fù)一個(gè)數(shù)據(jù)竊取漏洞

Win7之家（ afsion.com.cn）：Android 2.3將修復(fù)一個(gè)數(shù)據(jù)竊取漏洞

        代號(hào)“姜餅”的Android2.3系統(tǒng)將修復(fù)現(xiàn)有系統(tǒng)中的一個(gè)數(shù)據(jù)竊取漏洞，Android2.3系統(tǒng)預(yù)計(jì)近期將開(kāi)放下載。谷歌Android安全小組目前正在著手修補(bǔ)這個(gè)瀏覽器數(shù)據(jù)竊取漏洞，這個(gè)漏洞可以使網(wǎng)站未經(jīng)授權(quán)就可以訪問(wèn)Android設(shè)備內(nèi)存卡中的存儲(chǔ) 文件。這個(gè)漏洞最先由托馬斯·坎農(nóng)（Thomas Cannon）發(fā)現(xiàn)。他表示，自動(dòng)文件下載、JavaScript和microSD訪問(wèn)政策加在一起，在瀏覽器或電子郵件中點(diǎn)擊某些HTML頁(yè)面，用戶(hù)的 隱私數(shù)據(jù)可能會(huì)被竊取。

　　不過(guò)這個(gè)漏洞實(shí)現(xiàn)起來(lái)要有特定條件，關(guān)鍵是第三方必須知道他們想偷竊的文件名稱(chēng)。不過(guò)由于許多Android設(shè)備都遵循照片和視頻文件的標(biāo)準(zhǔn)化命名方式，竊取方可能也找不到什么。

　　坎農(nóng)描述漏洞實(shí)現(xiàn)過(guò)程如下：

　　Android瀏覽器在下載payload.html等文件時(shí)不會(huì)告知用戶(hù)，而是自動(dòng)下載存儲(chǔ)至/sdcard/download。 使用JavaScript讓這個(gè)payload文件自動(dòng)打開(kāi)，使瀏覽器顯示本地文件。

　　用戶(hù)在這種本地環(huán)境下打開(kāi)一個(gè)HTML文件，Android瀏覽器會(huì)在不告知用戶(hù)的情況下自動(dòng)運(yùn)行JavaScript。而在這種本地環(huán)境下，JavaScript就能夠讀取文件內(nèi)容和其他數(shù)據(jù)。

       該缺陷已經(jīng)被安全網(wǎng)站海瑟安全（Heise Security）獨(dú)立證實(shí)，而現(xiàn)在最好的建議是要警惕可疑網(wǎng)站、電子郵件中的HTML鏈接或Android通知欄中突然彈出的下載。在手機(jī)升級(jí)到Android2.3系統(tǒng)前，用戶(hù)必須小心。