MIUI刷機(jī)曝重大危險(xiǎn) 可致短信照片等個(gè)人隱私被盜

責(zé)任編輯:editor005

作者:admin

2016-01-18 14:37:02

摘自:安全牛

日前烏云平臺披露MIUI存在高危級別漏洞,黑客可輕易竊取短信、通訊錄、照片等手機(jī)數(shù)據(jù),甚至威脅手機(jī)支付的財(cái)產(chǎn)安全和云端備份的隱私資料。對此小米科技官方承認(rèn)漏洞,并稱該漏洞存在于開發(fā)者制作的MIUI合作版ROM中。

日前烏云平臺披露MIUI存在高危級別漏洞,黑客可輕易竊取短信、通訊錄、照片等手機(jī)數(shù)據(jù),甚至威脅手機(jī)支付的財(cái)產(chǎn)安全和云端備份的隱私資料。對此小米科技官方承認(rèn)漏洞,并稱該漏洞存在于開發(fā)者制作的MIUI合作版ROM中。

MIUI合作版是小米官網(wǎng)專為其他品牌手機(jī)提供的刷機(jī)系統(tǒng),涉及三星、索尼、HTC、LG等十多個(gè)手機(jī)品牌。所有使用MIUI刷機(jī)的手機(jī)都受到漏洞影響。

根據(jù)烏云平臺上的描述,黑客可利用MIUI漏洞篡奪系統(tǒng)所有權(quán)限,竊取短信等敏感數(shù)據(jù)、盜用小米賬號密碼、執(zhí)行靜默安裝,甚至把整個(gè)系統(tǒng)OTA升級 “一窩端”。也就是說,手機(jī)如果用了MIUI刷機(jī),就可被黑客任意擺布,為所欲為。

小米官方承認(rèn)MIUI合作版的簽名存在漏洞。簽名擁有手機(jī)系統(tǒng)至高無上的權(quán)力,任何應(yīng)用申請權(quán)限都需要通過系統(tǒng)簽名來分配。如果黑客掌握了簽名,就可以悄無聲息地獲得手機(jī)所有權(quán)限,隨便讀取短信、讀取通訊錄、撥打電話、發(fā)送短信、錄音、拍照等等,或者把小米錢包、網(wǎng)銀等重要應(yīng)用偷偷替換為相同圖標(biāo)和界面的木馬,竊取受害者密碼。

記者聯(lián)系了一位安卓開發(fā)工程師,請他模擬演示MIUI漏洞的風(fēng)險(xiǎn)。在一部使用小米官網(wǎng)MIUI刷機(jī)的三星手機(jī)上,工程師在安裝一個(gè)軟件后,系統(tǒng)沒有提示該軟件申請使用哪些權(quán)限。然而不到半個(gè)小時(shí),手機(jī)里的短信都被自動(dòng)發(fā)送到一個(gè)郵箱里,銀行和支付類的驗(yàn)證碼短信也全部失陷。整個(gè)過程中,手機(jī)用戶察覺不到任何異常。

小米公司表示將在MIUI ROM制作的官方教程中加強(qiáng)引導(dǎo),提高開發(fā)者的安全意識,但并未透露會采取哪些措施保護(hù)已經(jīng)使用MIUI刷機(jī)的用戶。目前通過小米官網(wǎng)查詢,存在漏洞的MIUI合作版也尚未下線。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號