代号“姜饼”的Android2.3系统将修复现有系统中的一个数据窃取漏洞，Android2.3系统预计近期将开放下载。谷歌Android安全小组目前正在着手修补这个浏览器数据窃取漏洞，这个漏洞可以使网站未经授权就可以访问Android设备内存卡中的存储 文件。这个漏洞最先由托马斯·坎农（Thomas Cannon）发现。他表示，自动文件下载、JavaScript和microSD访问政策加在一起，在浏览器或电子邮件中点击某些HTML页面，用户的 隐私数据可能会被窃取。

不过这个漏洞实现起来要有特定条件，关键是第三方必须知道他们想偷窃的文件名称。不过由于许多Android设备都遵循照片和视频文件的标准化命名方式，窃取方可能也找不到什么。

坎农描述漏洞实现过程如下：

Android浏览器在下载payload.html等文件时不会告知用户，而是自动下载存储至/sdcard/download。 使用JavaScript让这个payload文件自动打开，使浏览器显示本地文件。

用户在这种本地环境下打开一个HTML文件，Android浏览器会在不告知用户的情况下自动运行JavaScript。而在这种本地环境下，JavaScript就能够读取文件内容和其他数据。

该缺陷已经被安全网站海瑟安全（Heise Security）独立证实，而现在最好的建议是要警惕可疑网站、电子邮件中的HTML链接或Android通知栏中突然弹出的下载。在手机升级到Android2.3系统前，用户必须小心。

【编辑推荐】

1. 企业Android安全：移动手机数据保护建议
2. Android内核被曝存在88个高危漏洞
3. Google多款产品现安全漏洞 可泄露Gmail信息
4. Firefox暴严重零日漏洞 已被攻击者利用

　　推荐阅读

　　如何使用漏洞管理工具保护数据

网络安全问题包含太多，那么针对漏洞，我们可以使用工具进行数据保管。那么这里就来介绍一下漏洞管理工具的相关应用。很多机构都发现将自己的漏洞管理（VM）服务外包给别的公司有助于减少员工数量、日常开支、设备费>>>详细阅读

本文标题：Android 2.3将修复一个数据窃取漏洞

地址：http://www.17bianji.com/anquan/buding/788.html

 1/2    1