移動安全公司Lookout的研究人員周一表示，估計有80%的Android手機包含一個最近發(fā)現(xiàn)的漏洞，該漏洞使攻擊者可以終止連接，并且如果不對連接進行加密，則可以將惡意代碼或內(nèi)容注入雙方的通信中。

正如Ars 上周三報道的那樣，該漏洞最初出現(xiàn)在2012年引入的Linux操作系統(tǒng)內(nèi)核的3.6版中。Lookout研究人員在周一發(fā)布的博客中說，Linux漏洞似乎已引入Android 4.4版中(又名KitKat)，并且在所有將來的版本中仍然存在，包括Android Nougat的最新開發(fā)人員預覽。統(tǒng)計數(shù)據(jù)提供商Statista的報告表明，該數(shù)字是基于Android的安裝基礎(chǔ)而來的，這意味著約有14億個Android設(shè)備(約80%的用戶)易受攻擊。

監(jiān)視研究人員安德魯·布萊奇(Andrew Blaich)告訴Ars：“ tl; dr供Android用戶使用，以確保他們通過使用VPN對通信進行加密，或者確保訪問的站點已加密。” “如果有他們不想追蹤的地方，請務(wù)必確保已加密。”

該漏洞使具有Internet連接的任何人都可以確定是否有任何兩個方面正在通過長期的傳輸控制協(xié)議連接進行通信，例如為Web郵件，新聞提要或直接消息提供服務(wù)的協(xié)議。如果未對連接進行加密，則攻擊者可以將惡意代碼或內(nèi)容注入流量。即使對連接進行加密，攻擊者也仍然可以確定存在信道并終止該信道。該漏洞分類為CVE-2016-5696。

漏洞利用可能針對Android用戶的一種可能方式是讓他們將JavaScript插入不受HTTPS加密方案保護的合法互聯(lián)網(wǎng)流量中。JavaScript可能會顯示一條消息，錯誤地聲稱用戶已退出帳戶，并指示她重新輸入用戶名和密碼。然后將登錄憑據(jù)發(fā)送給攻擊者。類似的注入攻擊也可能試圖利用目標Android用戶正在使用的瀏覽器，電子郵件或聊天應(yīng)用程序中未修補的漏洞。

為了使攻擊有效，對手必須首先花費大約10秒鐘的時間來測試兩個特定的參與者(例如已知的Android用戶和《今日美國》)是否已連接。然后，又需要45秒鐘左右的時間，才能將惡意內(nèi)容注入其流量。所需的時間可能使得進行襲擊大量人員的機會主義攻擊不切實際。不過，該技術(shù)似乎非常適合有針對性的攻擊，在這種攻擊中，攻擊者(例如，跟蹤者或國家支持的監(jiān)視機構(gòu))正試圖感染或監(jiān)視特定的個人，尤其是當黑客知道某些受攻擊者經(jīng)常訪問的站點時目標。

一位Google代表說，公司工程師已經(jīng)意識到了該漏洞，并“采取了適當?shù)拇胧?。如本文所述，該代表指出該漏洞存在于Linux內(nèi)核的易受攻擊的版本中，而不是特定于Android的?？梢哉f，Android安全團隊對它修補的許多漏洞的風險評級為“中”，而不是“高”或“嚴重”風險。Linux內(nèi)核的維護者已經(jīng)對CVE-2016-5696進行了修補。如果該修復程序在下個月左右集成到新的Android版本中，就不足為奇了。