原生 Android 浏览器被发现包含严重的隐私漏洞



摘要: 美国科技媒体Ars Technica报道，Android 开源项目 AOSP 下的开源、基于 Webkit 的原生浏览器内部包含严重的隐私漏洞。用户浏览到包含有恶意代码的网站时将被感染，然后在浏览其他网站的时候一段特殊的 JavaScript 代 ...

美国科技媒体 Ars Technica 报道，Android 开源项目 AOSP 下的开源、基于 Webkit 的原生浏览器内部包含严重的隐私漏洞。用户浏览到包含有恶意代码的网站时将被感染，然后在浏览其他网站的时候一段特殊的 JavaScript 代码将被注入到这些网站当中。之后，代码即可读取用户在密码框、其他信息框中输入的信息，或者干脆直接劫持用户使用软键盘输入的一切内容。 一般来说浏览器使用一个名为 Same Origin Policy（SOP）的机制来控制不同网站来源的不同内容，SOP 机制使用不同的 HTTP 或 HTTPS 协议、域名以及接口等作为评判不同的网站来源。而本文所提到的于今年 9 月 1 日发现的漏洞，可以使得恶意网站的制作者在网页中加入特殊的 JavaScript 代码从而跳过 SOP 机制的检测，进而被无限制地通过用户的 Android 原生浏览器「移植」到其他的网站中。 这个 Bug 是 AOSP 浏览器的专属 bug。Google 方面得知此消息之后对旗下的 Android 版本中包含的 AOSP 浏览器进行了检测，给出的反馈是 Android 4.4 KitKat 以及更高的小版本下的 AOSP 浏览器，以及 Chrome、Chrome Beta Android 版本浏览器不包含这个 bug。 对于较早的 Android 版本，Google 已经给出了更新补丁。http://www.haoav01.com/vodhtml/30091.html