国产精品导航一区二区丨动漫成人无码精品一区二区三区丨久久国内精品自在自线波多野结氏丨久久久久久久久久久网站丨亚洲日韩乱码中文无码蜜桃臀网站丨午夜成人无码福利免费视频丨最新中文乱码字字幕在线丨夜夜骑夜夜操丨久久久久久久久久久av丨女人久久丨日本乱偷互换人妻中文字幕丨日本猛少妇色xxxxx猛交图片丨亚洲欧洲精品成人丨国产人成高清在线视频99最全资源丨91文字幕巨乱亚洲香蕉丨日本欧美视频在线观看丨三级黄毛片丨114一级片丨成人免费午夜福利片在线观看丨国产主播福利在线丨黄色的一级片丨久久99国产精品女同丨三区四区丨久久精品视频一区二区三区丨日韩一区二区三区在线视频

安全公告編號:CNTA-2014-0022

根據BlueBox在7月30日披露的公告稱，Android 操作系統存在APP FakeID簽名漏洞（CNVD-2014-04764?，對應Google Bug 13678484）。攻擊者可以利用漏洞開發惡意APP并繞過Android操作系統權限認證限制，發起后續攻擊。

漏洞產生原因在于Android校驗應用身份時采取的方式存在“單個證書充分條件”風險。 PackageManger在安裝APP軟件（APK格式）時并不校驗證書鏈上所有證書的合法性，只要存在被指定的簽名（SIGN）能夠校驗APK中所有文件的合法性即可。Android操作系統使用getPackageInfo獲取安裝包證書時，如果獲取到多個證書，只要有一個證書可確保APK可信即可。

FakeID簽名漏洞可導致惡意程序取得信賴應用的簽名，繞過Android操作系統的安全驗證機制，在高權限下甚至可以取得Android終端設備的控制權限。潛在的攻擊場景包括：該漏洞可導致使用了webview組件的應用被惡意監控或隱私數據失竊；可能對Google Wallet類的支付應用產生威脅，如可獲得NFC（近距離無線通信）設備的控制權限。

CNVD對該漏洞的綜合評級為“高危”。

解決方案：

該漏洞影響部分4.4及所有4.4以下版本的安卓系統， Google已經在今年4月針對這個代碼為13678484的漏洞發布修補程序，并通報給Android合作伙伴。主要在簽名校驗的JarVerifier類的代碼JarUtils中，添加了chainCheck的選項，可以對所有證書進行校驗。CNVD技術組成員單位——奇虎360公司對該漏洞進行了驗證。

參考鏈接：

1、漏洞信息

http://bluebox.com/blog/technical/android-fake-id-vulnerability/

http://blogs.360.cn/360mobile/2014/08/04/all-about-fakeid/

2、POC

https://github.com/retme7/FakeID_poc_by_retme_bug_13678484/