Android新漏洞：预览MP3文件也可能中招

安全研究机构 Zimperium 近日 披露 了 Android 操作系统名为 “Stagefright” 的新漏洞，其威胁性在于打开一个 mp3 文件也可能令手机被病毒感染。

这可算是 Zimperium 发现的 Stagefright 漏洞的 2.0 版。据称该公司今年4月 发现的 1.0 版漏洞可感染 1.0 版以上的 Android 系统，而当前的这个漏洞则会感染 Android5.0 以上的系统。

该漏洞与 MP3、MP4 文件内的元数据处理有关—只要用户预览某被预先处理过的歌曲或视频，就会被攻击者利用其中的漏洞来远程执行代码。根据 Zimperium 介绍，用户最有可能被感染的方式是通过 Web 浏览器访问这些被处理过的 MP3 或 MP4 文件，然后把用户引导到受攻击者控制的网站，或者利用中间人攻击来注入病毒。此外，由于该漏洞是在 stagefright 库中被发现的，鉴于该库也被部分媒体播放器使用，所以其他的第三方 app 也可能受感染（目前尚未发现）。

由于漏洞的补丁仍在制作当中，所以 Zimperium 暂时不会公布病毒的概念验证代码，但是会在补丁发布后升级 Stagefright 检测 app。

Zimperium 已经在今年8月15号将漏洞通知给 Google，按照计划，后者将会在下周的 Nexus Security Bulletin 上发布相关补丁。另据 Motherboard 介绍，推出不久的 Android Marshmallow（棉花糖）已经内置了补丁，但是安装该版本的 Android 手机显然不会太多。而小米、三星、HTC 等利用 Android 修改而成的操作系统也需要自行发布相关补丁。

本文参考了多个信息来源： blog.zimperium.com 、 thenextweb.com

“看完这篇还不够？如果你也在创业，并且希望自己的项目被报道，请 戳这里 告诉我们！”