一鍵就會讓歹徒篡改Android App程式!

趨勢科技發現Apache Cordova 應用程式架構的一個漏洞,可能導致使用者只點選了一個網址、就遭歹徒篡改Android裝置上的App,不僅使用App時被干擾如完全當掉無法使用,數以千計的Apache Cordova第三方外掛程式也同樣有危險!趨勢科技呼籲Android應用程式開發人員,應立即將自己的Cordova開發套件升級至最新版本,並重新製作一份新版App,以防遭歹徒攻擊。趨勢科技的Smart Home Network解決方案已可以協助防堵此問題。

Android 病毒

 

趨勢科技資深技術顧問簡勝財表示:「此問題已被趨勢科技列為高嚴重性問題,Apache Cordova 4.0.1 以前的所有版本都在影響之列,日前Apache也已經發布一份安全公告證實了這項漏洞。根據我們的研究顯示,若程式的Base Activity設定沒有受到適當的保護,而且偏好設定又使用預設值的話,那麼使用者就可能因為開啟程式內的一個網頁、或是已經植入手機的惡意程式,被修改這些偏好設定,進而改變App的外觀和運作方式。絕大多數以Cordova 為基礎所開發的App程式,都可能因為這個漏洞而遭到攻擊。」

簡勝財指出,使用 Cordova 開發的 App 程式和使用者可能受到下列影響:

  1. 程式外觀遭到篡改
  2. 遭人篡改彈出視窗和文字內容
  3. 遭人篡改程式開啟畫面
  4. 基本功能被篡改
  5. 程式當掉

此漏洞不僅影響 App 程式,而且數以千計的 Apache Cordova 第三方外掛程式也同樣有危險,尤其這些外掛的功能很仰賴偏好設定。

趨勢科技已將這項漏洞通報給Apache,而他們也針對這項漏洞發布了一份正式公告。我們建議Android 應用程式開發人員將自己的Cordova開發套件升級至最新版本 (4.0.2),然後重新製作一份新版程式,這樣就能防止 App 程式遭歹徒利用這項漏洞進行攻擊。

針對智慧家庭用戶,勢科技Smart Home Network「智慧家庭網路資安防護」解決方案,透過虛擬補丁,保護用戶在Android裝置中瀏覽網頁也不會因此弱點被侵害。目前華碩RT-AC56U、RT-AC68U、RT-AC87U、和RT-AC3200路由器皆已內建此方案,透過嚴謹的三階段(預防、保護、修復)資安防護功能,即時防範駭客透過此漏洞入侵用戶的行動裝置。

趨勢科技也在此次Computex展會,協同聯發科技展出Smart Home Network解決方案,將智慧資安防護、家長防護功能、以及智能頻寬管理等智慧家庭防護功能實作在聯發科技新款MT7623無線晶片上,為所有物聯網裝置提供全面的安全控管。

更多Apache Cordova漏洞事件詳細內容,請見http://blog.trendmicro.com/trendlabs-security-intelligence/trend-micro-discovers-apache-vulnerability-that-allows-one-click-modification-of-android-apps/

 

《提醒》在粉絲頁橫幅,讚的右邊三角形選擇接收通知新增到興趣主題清單,重要通知與好康不漏接