在 mce Systems 提供的 Android Apps 移動服務(wù)框架中，微軟研究人員發(fā)現(xiàn)了一系列嚴重的漏洞。更糟糕的是，這批易受攻擊 Android Apps，已在 Google Play 官方應(yīng)用商店被下載了數(shù)百萬次，讓廣大用戶面臨命令注入和權(quán)限提升攻擊等重大風(fēng)險。
(來自：Microsoft Security)
相關(guān)漏洞包括 CVE-2021-42598、 CVE-2021-42599、CVE-2021-42600 和 CVE-2021-42601，并且波及到了預(yù)裝在電信運營商定制移動設(shè)備上的預(yù)裝應(yīng)用程序。
Microsoft 365 Defender 安全研究人員 Jonathan Bar Or、Sang Shin Jung、Michael Peck、Joe Mansour 和 Apurva Kumar 表示：
這些 Android Apps 被嵌入到了設(shè)備的系統(tǒng)鏡像中，表明它們是原廠安裝的默認應(yīng)用程序。
受影響的運營商包括 AT&T、TELUS、Rogers Communications、Bell Canada、以及 Freedom Mobile 。
尷尬的是，相關(guān) Android Apps 都逃過了谷歌官方應(yīng)用商店的自動安全檢查(Google Play Protect)。
雪上加霜的是，在沒有獲得設(shè)備 root 訪問權(quán)限的情況下，此類默認預(yù)裝的應(yīng)用是無法被徹底卸載或禁用的。
(圖自：mce System)
雖然在微軟今日公開披露相關(guān)安全漏洞之前，設(shè)備制造商已經(jīng)修復(fù)了相關(guān)漏洞以保護其客戶免受攻擊。
但提供終端設(shè)備的一些電信企業(yè) / 移動服務(wù)提供商，尚未徹底掃清使用了同一隱患服務(wù)框架的 Android 應(yīng)用程序。
微軟補充道：
假如有別有用心的人在客戶設(shè)備上部署了隱患 Android Apps(包名為 com.mce.mceiotraceagent)，其它設(shè)備也有可能遭遇此類漏洞濫用和潛在攻擊。
由于這些預(yù)裝應(yīng)用擁有廣泛的系統(tǒng)權(quán)限，相關(guān)漏洞或成為攻擊者訪問系統(tǒng)配置和其它敏感信息的攻擊媒介。
有鑒于此，研究人員建議發(fā)現(xiàn)其設(shè)備上被安裝了相關(guān) Android Apps 的用戶即使清理，并及時打上最新的系統(tǒng)安全補丁。
最后，當 BleepingComputer 于周五早些時候聯(lián)系時，微軟尚未披露受影響的 Android Apps 與移動運營商的完整列表。
