高通API代碼惹的禍 百萬安卓設備受威脅

　　在某些情況下，原因歸結于安卓向開發者和用戶提供的一種“開放性”，而有些漏洞則直接能夠在安卓系統“核”中找到。這次，安卓系統的漏洞則是由它的合作伙伴高通帶來的。在推出其新的網絡功能時，高通也無意之中埋下了“禍根”，為黑客創造了一種獲取他人隱私數據的機會，這個漏洞或許將影響到數數千、甚至百萬安卓設備。

　　具體來講，這項安全漏洞僅僅能夠影響到高通芯片以及使用來自高通編碼的應用軟件。 在2011年，作為其安卓網絡-管理系統服務的一部分，這家芯片制造商推出了其新的API。而新的API允許“Radio”用戶，也就是與網絡功能綁定的系統賬戶訪問通常無法訪問的數據，比如瀏覽用戶的短信或者手機通話記錄。

　　惡意應用軟件只需使用官方安卓API就能利用此漏洞。更為嚴重的是，由于是官方API，因此就不會很容易地被自動反惡意軟件工具所識別。即便是這項漏洞的發現者FireEye在剛開始也無法使用他們工具識別出此漏洞。用戶只要一下載看似安全，但需要獲得網絡使用許可的應用軟件，就會自動成為潛在受害者。

　　再加上安卓系統“碎片化”特點，這也使得這項漏洞變得更加難以被識別。在2011年高通發布API之時，當時的安卓系統版本還是Gingerbread (2.3). 目前該漏洞已經存在于Lollipop (5.0), KitKat (4.4)和 Jelly Bean (4.3)系統中。并且，版本越低，對此漏洞的抵抗力就低，“Radio”用戶就更容易獲取隱私數據。

　　好消息是，目前還沒有出現跟此漏洞相關的受害者。不過，FireEye承認，一旦這項漏洞被黑客所利用，后果不堪設想。高通目前已經修補此漏洞，谷歌也針對此漏洞發布了名為“CVE-2016-2060漏洞”安全公告。壞消息是，目前還不知道谷歌何時、甚至是否會將修復補丁推送給消費者。