代號(hào)“姜餅”的Android2.3系統(tǒng)將修復(fù)現(xiàn)有系統(tǒng)中的一個(gè)數(shù)據(jù)竊取漏洞，Android2.3系統(tǒng)預(yù)計(jì)近期將開放下載。谷歌Android安全小組目前正在著手修補(bǔ)這個(gè)瀏覽器數(shù)據(jù)竊取漏洞，這個(gè)漏洞可以使網(wǎng)站未經(jīng)授權(quán)就可以訪問Android設(shè)備內(nèi)存卡中的存儲(chǔ) 文件。這個(gè)漏洞最先由托馬斯·坎農(nóng)（Thomas Cannon）發(fā)現(xiàn)。他表示，自動(dòng)文件下載、JavaScript和microSD訪問政策加在一起，在瀏覽器或電子郵件中點(diǎn)擊某些HTML頁面，用戶的 隱私數(shù)據(jù)可能會(huì)被竊取。

不過這個(gè)漏洞實(shí)現(xiàn)起來要有特定條件，關(guān)鍵是第三方必須知道他們想偷竊的文件名稱。不過由于許多Android設(shè)備都遵循照片和視頻文件的標(biāo)準(zhǔn)化命名方式，竊取方可能也找不到什么。

坎農(nóng)描述漏洞實(shí)現(xiàn)過程如下：

Android瀏覽器在下載payload.html等文件時(shí)不會(huì)告知用戶，而是自動(dòng)下載存儲(chǔ)至/sdcard/download。 使用JavaScript讓這個(gè)payload文件自動(dòng)打開，使瀏覽器顯示本地文件。

用戶在這種本地環(huán)境下打開一個(gè)HTML文件，Android瀏覽器會(huì)在不告知用戶的情況下自動(dòng)運(yùn)行JavaScript。而在這種本地環(huán)境下，JavaScript就能夠讀取文件內(nèi)容和其他數(shù)據(jù)。

該缺陷已經(jīng)被安全網(wǎng)站海瑟安全（Heise Security）獨(dú)立證實(shí)，而現(xiàn)在最好的建議是要警惕可疑網(wǎng)站、電子郵件中的HTML鏈接或Android通知欄中突然彈出的下載。在手機(jī)升級(jí)到Android2.3系統(tǒng)前，用戶必須小心。

【編輯推薦】

1. 企業(yè)Android安全：移動(dòng)手機(jī)數(shù)據(jù)保護(hù)建議
2. Android內(nèi)核被曝存在88個(gè)高危漏洞
3. Google多款產(chǎn)品現(xiàn)安全漏洞 可泄露Gmail信息
4. Firefox暴嚴(yán)重零日漏洞 已被攻擊者利用