北京時間3月25日消息，據(jù)外媒PCWorld報道，美國安全公司帕洛阿爾托網(wǎng)絡(luò)（Palo Alto Networks）2014年曝光了一個Android系統(tǒng)漏洞，該漏洞可導(dǎo)致用戶數(shù)據(jù)面臨泄露風(fēng)險，時至今日，仍有近半數(shù)的Android設(shè)備未打補丁封堵該漏洞。

據(jù)悉，利用該漏洞可將合法應(yīng)用替換為惡意軟件，從而竊取手機用戶敏感信息。據(jù)帕洛阿爾托網(wǎng)絡(luò)報告，谷歌，三星和亞馬遜已經(jīng)針對旗下機型推出相應(yīng)的補丁，但其他49.5%的安卓用戶仍面臨風(fēng)險。谷歌稱尚未檢測到利用該漏洞的行為。

一款名為“Android應(yīng)用安裝器劫持”（Android Installer Hijacking）的惡意應(yīng)用可利用該漏洞，這款應(yīng)用擁有全部權(quán)限，包括訪問用戶數(shù)據(jù)和密碼。帕洛阿爾托網(wǎng)絡(luò)公司高級工程師許智（音譯）寫道。

該漏洞只對通過第三方應(yīng)用市場安裝的應(yīng)用有效。一般來說，安全專家建議謹(jǐn)慎使用從這些來源下載的應(yīng)用。通過第三方下載的應(yīng)用APK安裝文件通常被存儲在設(shè)備不被保護的存儲區(qū)域，如SD卡，許智寫道。然后，系統(tǒng)應(yīng)用PackageInstaller會完成安裝過程。惡意軟件可在安裝過程中利用該漏洞，在用戶不知情的情況下，對APK文件進行修飾或替換。

而且，安卓設(shè)備在沒有Root的情況下，仍會遭受攻擊。盡管Root后的設(shè)備面臨的風(fēng)險更大。

2014年1月，帕洛阿爾托公司就發(fā)現(xiàn)了這一漏洞，那時，接近90%的安卓用戶都面臨風(fēng)險。目前已經(jīng)降至49.5%，但很多設(shè)備仍未安裝補丁。