飞行堡垒和玩家国度手机版堡垒之夜玩家请注意抓紧更新以免被恶意攻击

谷歌安全研究人员本周透露，极受欢迎的堡垒之夜容易受到所谓的Man-in-the-Disk（MitD）攻击。此漏洞允许已安装在用户手机上的低权限恶意应用程序劫持堡垒之夜安卓应用程序的安装过程，并安装具有更高权限级别的其他恶意应用程序。堡垒之夜游戏开发商EpicGames发布了修补此攻击的2.1.0版本补丁。堡垒之夜安卓应用程序易受MitD攻击最近，以色列网络安全公司CheckPoint的安全研究人员对\"MitD\"攻击的概念进行了更深入的阐述。简单地说，当安卓应用程序在高度安全的内部存储空间之外的外部存储介质上存储数据时，可能会被MitD攻击。攻击者可以查看特定应用程序的外部存储空间，并篡改存储空间中的数据，因为所有应用程序都共享这个空间。堡垒之夜安卓应用程序很容易受到这种攻击，因为该应用程序不包含实际的游戏，而只是一个安装程序。一旦用户安装了应用程序，这个安装程序就会使用设备的外部存储空间来下载和安装实际的游戏。任何具有WRITE_EXTERNAL_STORAGE权限的应用都可以在下载完成后立即替换APK并验证指纹，使用FileObserver就可以轻松完成这一步。堡垒之夜的安装程序将会继续安装替代（假冒）的APK。Google研究员在最近公布的一份错误报告中写道：如果假冒APK的targetSdkVersion为22或更低，它将在安装时被授予它请求的所有权限。这个漏洞允许设备上的一个应用程序劫持堡垒之夜安装程序，从而安装具有任何权限的假APK，这个权限通常需要用户允许。研究人员补充说，同时也分享了一个演示视频。EpicGames对谷歌研究人员不满但漏洞披露过程也带来了争议，EpicGames首席执行官蒂姆•斯威尼(TimSweeney)指责谷歌的公关噱头。

本文来自投稿，不代表长河网立场,转载请注明出处： http://www.changhe99.com/a/MWrBGMgxwm.html