阅读更多
InMobi近日被曝出了安全漏洞。InMobi是全球数一数二的移动广告公司,开发者通过在移动App中整合InMobi SDK来集成广告,以便获得收入。仅在亚太地区,InMobi覆盖的用户数量已经超过4亿。如今InMobi被曝出漏洞,这意味着大量手机中的一些应用程序已经变成了潜在的后门程序。



安全漏洞说明

这个漏洞源于InMobi使用的一个名为addJavascriptInterface的Android API,该API的作用是将Java对象中的方法暴露给WebView中加载的内容。

自Android 4.2之后,addJavascriptInterface有一个机制来限制哪些方法可以通过JavaScript代码从WebView中访问Java对象方法,但这种限制不存在于之前的Android版本,目前大约80%的设备还运行着Android 4.2之前的版本。

InMobi自从2.5.0版本之后就一直使用addJavascriptInterface,从3.6.2版本之后开始使用@JavascriptInterface约束机制,这是一种安全机制,但是副作用是带来了更多的不安全性。

InMobi SDK中所暴露的方法包括:createCalendarEvent、makeCall、postToSocial、sendMail、sendSMS、takeCameraPicture、getGalleryImage、and registerMicListener。安全公司FireEye研究员称这本质上等于InMobi在应用中开了一个后门。

再者,InMobi在WebView中加载内容是通过HTTP,而不是通过HTTPS,传输未经过加密,这意味着任何攻击者都可以拦截传输内容,并注入JavaScript代码,以便访问暴露的功能。

带来的风险

尽管每个Android应用在安装时都会显示所需要的权限,比如查看通讯录、获取位置、获取相册、通话记录等,但是大部分人不会去留意,也不会在意。

FireEye研究人员称,通过InMobi的这个漏洞,攻击者可以通过有权限的应用程序来拨打电话,或者针对特定号码发起电话分布式拒绝服务(T-DDoS)。而一些功能是不需要应用程序有特殊权限的,比如发布到社交网络、发送短消息、创建日历事件或拍照等。

波及范围

FireEye报告这一漏洞后,InMobi发布了SDK 4.4版本,规定应用程序拨出电话之前需要用户确认。但是,该版本中仍存在暴露storePicture方法的潜在危险,该方法可用于保存网上下载的文件到设备中。

FireEye表示,目前已经检测到Google Play中有超过2000个应用包含了有漏洞的InMobi版本,而这些应用的总下载量已经超过10万次。

Via infoworld
  • 大小: 20.2 KB
1
0
评论 共 2 条 请登录后发表评论
2 楼 ly993066886 2013-12-03 17:47
这么严重吗?!
1 楼 ykssky 2013-12-02 21:29
不会是狗狗自黑吧, 吓唬用户升级系统, 解决android版本碎片问题

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • MVC+Extjs架构WebMis自动生成

    大家知道CRUD,查询分页都是重复的代码,更头疼的是Extjs文件的编写更愁人,而这些系统都可以根据你配置的表自动产生出来,不用再重复无用功了。 系统可以产生IDAO、DAO、Model、Nhibernate映射文件、IBLL、BLL、...

  • Extjs4快速上手四——实现菜单

     本次将主要讲Extjs树形菜单的实现。在很多系统里边,树形菜单被广泛应用,主要因为其有清晰的层次结构。记得最早见到的树形菜单是通 过<ul><li>实现的,非常简单。之后用C...

  • smh2:使用Spring3 + Spring JPA + Shiro + ExtJS4开发项目脚手架。已实现用户,权限,角色,资源,菜单,消息,公告,字典库,日志,excel导入,代码生成器,工作流等功能

    ###架构Spring3.2.0 + Hibernate4.2Final + JPA2 + Shiro 项目已经转移到: : 本架构已废弃,请知道! ####系统首页 ####左侧点击树主题 ####集成流程等常用系统功能 ####首页 ####顶部菜单形式主题

  • ExtJs之treePanel checkbox 复选框

    目录树需要实现多级复选的时的应用 1 效果图 代码 1.实现关键—–子节点和父节点的联动 /** 递归遍历父节点 **/ var travelParentChecked = function(node, checkStatus, opts){ //父节点 var upNode =...

  • ExtJS快速入门学习指南

    前言:个人理解ExtJS其实 是一个Ajax 框架,是一个用javascript 写的。与EasyUI差不多的一个框架。学习并不难,先找好一定的学习资料与文档,然后再练习几个demo,这样大概就有所了解了。具体精通,那只有等你自己在...

  • ExtJS4.2 MVC + VS2012 MVC + EntityFramework 搭建系統框架

    注:用到了 EXTJS 的 MVC 修改webconfig的sql密碼後 遠行項目 隨便輸入什麼點登錄 會自動生成數據庫 生成數據庫之後執行下面的語句 添加種子數據 --數據庫種子數據 use EXTMVC insert [dbo].[users] values('...

  • ExtJs知识点概述

    经过不断的发展与改进,ExtJS现在已经成功发布到了ExtJS 6版本,是一套目前最完整和最成熟的javascript基础库之一,利用ExtJS构建的WEB应用具有与桌面程序一样的标准用户界面和操作方式,并能够跨不同的浏览器平台...

  • 跟我一起学extjs5(13--执行菜单命令在tabPanel中显示模块)

    跟我一起学extjs5(13--执行菜单命令在tabPanel中显示模块) 上面设计好了一个模块的主界面,下面通过菜单命令的执行来把这个模块加入到主界面当中。在MainModule.js中有一个函数,生成了当前的菜单数据: // ...

  • ExtJS 快速反入门指南

    更多 ExtJS应用开发解决方案及案例,详见: www.lanyotech.com 《ExtJS 快速反入门指南》专业ExtJS 应用解决方案成都蓝源信息技术有限公司www.lanyotech.com 2 目录 一、ExtJS 框架简介............................

  • extjs4.2之页面框架搭建完整步骤(一)

    2、先将extjs添加到web下,然后在web下创建app文件夹,在app文件夹下创建controller,model,view文件夹 3、index.jsp为登陆页面,成功后跳转到extjs.jsp,exjts.jsp导入extjs需要的css和js文件 Created by ...

  • ExtJs之treePanel实例

    需求treePanel适合做系统中的多级目录树(没有从后台加载数据)效果图代码Ext.define('dxgx.gxInfoTreePanel',{ extend: "Ext.tree.Panel", xtype: "nav", id: "nav", initComponent: function() { //导航菜单...

  • ext 实现一个鼠标滑过弹出 子菜单面板

    west 就是 菜单所在的区域 使用 fit 布局 这样就只会显示第一个子元素 其实有两个 子元素 第二个 子元素 是一个 默认的 Ext.tree.Panel 给它设置一个 autoLoad 的 store 获取菜单的数据  west 的第一个组件 也就是 ...

  • ExtJS——页面布局汇总

    var box3 = new Ext.Component({//生成一些组件,div p image... autoEl:{ tag:'div', style:'background:blue;width:300px;height:30px;color:#fff', html:'box3' } }); //垂直布局 Container var ...

  • servlet+extjs3.0实现树控件增删改差

    借着空闲,跟大家分享一下,如何操作extjs3.0的treepanel,实现增删改查 以下是页面的代码: <%@ page language="java" contentType="text/html; charset=utf-8" pageEncoding="utf-8"%> <html>...

  • 网络流量采样在高吞吐量链路异常检测中的应用研究

    内容概要:本文探讨了高吞吐量网络链路异常检测中流量采样技术的应用及其效果。面对现代分布式信息系统频繁遭受的网络安全威胁,特别是互联网服务提供商(ISP)面临的威胁,作者提出一种通过减少数据采样频率以降低异常检测计算复杂度的方法。文中介绍了实验环境、系统架构、采用的数据聚合与采样方法以及用于检测异常的人工智能模型(基于自编码器神经网络)。通过对一个真实中型ISP生产环境中实际网络流量数据进行研究,该研究展示了即使在较低采样频率情况下仍能保持较高的异常检测准确性,尤其是针对持续时间较长的DDoS攻击更为显著。此外,论文还验证了所提系统的有效性和应用潜力,为构建高效的网络安全监控机制提供了新思路。 适用人群:对于计算机网络安全、数据分析或机器学习有兴趣的研究人员和从业人员,特别是那些专注于提高异常检测性能和应对高流量数据流的技术人员。 使用场景及目标:适用于希望在不影响业务操作的前提下引入额外层次防护措施的企业级网络管理员;研究者可参考本文中提出的流量预处理方式来探索不同的统计分布和采样间隔设置;企业可以通过部署该类系统快速响应潜在的安全事件并降低成本。

  • unity ui画线插件

    unity ui画线插件

  • 比例公平性的下行链路资源分配在基于OFDMA的中继网络中的应用与优化(可复现,有问题请联系博主)

    内容概要:本文研究了在基于正交频分多址接入(OFDMA)的中继网络中进行带有比例公平性的下行链路资源分配问题。作者们通过联合优化中继选择、子载波分配和功率分配问题,并采用拉格朗日对偶分解方法求解这一复杂的NP完全问题。实验结果显示所提出的算法相较于启发式算法能显著提高系统吞吐量,并带来更好的用户间公平性。 适合人群:通信工程、无线网络优化、电信行业研发工程师和研究人员。 使用场景及目标:主要应用于提升4G移动通信系统的频谱效率及缓解频率选择衰落的问题,确保多用户之间的传输速率更加公平。同时适用于研究OFDMA技术及其相关领域的学者和技术专家。 其他说明:文中提供了详细的数学模型和模拟结果图表支持理论发现,并讨论了各种假设条件下的性能对比。此外还探讨了连续松弛技巧在解决NP完全问题时的应用价值以及通过调整算法参数来获得近似最优解的方法论意义。

  • [程序系统设计]MATLAB打印纸缺陷检测GUI(不同缺陷类型,GUI界面).zip

    程序系统设计]MATLAB打印纸缺陷检测GUI(不同缺陷类型,GUI界面) [程序系统设计]MATLAB打印纸缺陷检测GUI(不同缺陷类型,GUI界面) [程序系统设计]MATLAB打印纸缺陷检测GUI(不同缺陷类型,GUI界面) [程序系统设计]MATLAB打印纸缺陷检测GUI(不同缺陷类型,GUI界面) [程序系统设计]MATLAB打印纸缺陷检测GUI(不同缺陷类型,GUI界面)

  • 邮件分拣组态王6.55和西门子S7-200plc联机程序2023,带io表,运行效果视频 ,邮件分拣; 组态王6.55; 西门子S7-200plc; 联机程序2023; IO表; 运行效果视频,邮件

    邮件分拣组态王6.55和西门子S7-200plc联机程序2023,带io表,运行效果视频 ,邮件分拣; 组态王6.55; 西门子S7-200plc; 联机程序2023; IO表; 运行效果视频,邮件分拣组态王6.55与S7-200PLC联机程序2023版:带IO表运行效果视频

  • 基于关系变化和跨时间差异注意力机制的遥感影像变化检测(可复现,有问题请联系博主)

    内容概要:本文提出了一种新的基于跨时间差异(CTD)注意力机制的变化检测方法(称为CTD-Former),用于高效地提取多时相遥感图像中的变化特征。作者重新审视了自注意力机制并深入挖掘多时间相位图像间的关系变化,构建CTD变压器编码器和解码器来增强这些特征。此外,还引入了一致性感知模块(CPB)以保护变化区域的空间结构。实验结果显示,在LEVIR-CD、WHU-CD和CLCD数据集上,该模型相比于当前最优的方法表现出更好的性能。 适合人群:对深度学习、遥感图像处理、尤其是变化检测感兴趣的研究人员和技术专家,特别是熟悉变换器网络架构的从业者。 使用场景及目标:此方法适用于需要从多时相对比遥感影像中识别变化情况的任务,如环境监测、灾害评估、城市规划等领域内的应用开发,能够帮助研究者和决策者更准确地了解地面物体随时间的变化趋势。 其他说明:源代码可在GitHub仓库中获取,这为未来的研究提供了一个重要的参考平台,有助于推动该领域的进一步发展。

Global site tag (gtag.js) - Google Analytics