Android应用程序内发现新漏洞！

最近，趋势科技发现一些Android应用程序内存在漏洞，它可能会让用户的数据陷入危险或被用来发动攻击。我们调查了两个受影响的应用程序，大家来感受一下：

1、超过一千万次安装、及在下载页面拥有数十万笔用户留言的生产力应用程序（生产力应用程序是可以提高企业生产力或者软件开发能力的软件组件。）

2、超过一百万次安装、及在下载页面拥有数千笔使用者留言的购物相关应用程序 

 

问题出在执行应用程序功能的特定Android组件。这个组件有个属性名称为“android:export”，一旦设定为“true”，就可以让此组件被其他应用程序执行或者存取。这代表设备内安装的应用程序可以去触发其他应用程序的某些功能，虽然这对想和其他厂商的应用程序建立伙伴关系的开发者和厂商来说会很方便，但从安全的角度来看，也给了网络犯罪分子发动攻击的机会。

攻击者可以制作恶意链接或其他恶意应用程序的弹窗来窃取信息，弹窗还可以在购物应用程序内显示，并用来发动攻击。另一种可能出现的安全问题方式是针对重要资料的内容提供商加以收集，并且这些关键的内容可以通过定义权限来加以保护。

生产力应用程序可以完成那些对具体信息的组织与处理的任务，人们使用生产力应用程序是为了完成重要的任务。在前面所提到的生产力应用程序中，内容提供商储存输入会通过读取和写入权限保护。但是，如果这两种权限都设成“正常”的保护级别，这意味着设备中所安装的所有应用程序也都被拥有相同的权限。

对于开发人员来说，这个问题说明了需要给予应用程序不同组件适当限制的重要性。容易被滥用的组件应该加以权限保护（以及适当的保护级别）。使用保护级别来防护Android组件可能不是很简单就能做到，但它提供了良好的安全性。

趋势科技强烈建议开发人员检查他们应用程序所使用的组件，并确保对它们的存取有适当的限制。我们已经通知上面所提到应用程序的开发人员，告诉他们此问题。我们认为还有一些其他的热门应用程序可能也受到影响，当我们发现后也会通知他们。

 

了解趋势科技PC-cillin2014移动安全软件，请点击链接：

http://www.trendmicro.com.cn/pccillin/mobile-security-for-android.html