据外媒报道,法国安全专家Robert Baptiste(Twitter ID:Elliot Alderson)在ES文件浏览器(ES File Explorer)中发现了一个严重的安全漏洞(CVE-2019-6447),该漏洞可能会暴露数亿Android用户的敏感数据。"
ES文件浏览器是一款深受广大Android用户欢迎的文件管理工具,这不仅来源于它的使用方便和功能强大,而且还来源于它的完全免费。根据ES文件浏览器开发方的说法,这款文件管理工具,在GooglePlay商店上的下载量早已超过1亿,在全球范围内更是拥有超过4亿的下载量。
漏洞允许攻击者窃取数据,即使APP关闭
Robert Baptiste发现,ES文件浏览器APP会使用本地HTTP服务器来监听开放端口59777。
但即使APP已经关闭,服务器仍将一直运行,直到用户将终止所有与ES文件浏览器相关的的后台服务。
如此一来,攻击者就可以连接到该服务器并检索与设备相关的信息,包括已安装的APP列表。事实上,这个漏洞最可怕的地方在于,远程攻击者可以从受害者的设备上窃取文件,并在手机上启动任意APP。
“v4.1.9.7.4及更低版本的Android版ES文件浏览器,允许远程攻击者通过本地Wi-Fi网络上的TCP端口59777请求来读取任意文件或启动任意APP。” Robert Baptiste解释说,“ES文件浏览器APP在启动一次之后,这个TCP端口将一直保持打开状态,并响应所有未经验证的APP/JSON HTTP上的数据。”
Robert Baptiste还表示,即使受害者没有在Android设备上授予该APP任何权限,这种攻击也仍然会生效。
POC代码已发布,可窃取数据、启动APP
Robert Baptiste目前已经通过GitHub发布了一段PoC代码,可被处于受害者相同Wi-Fi网络下的攻击者用来列出并下载受害者设备或SD卡中的文件,以及启动任意APP或查看与设备相关的信息。
具体来讲,攻击者可以利用Robert Baptiste的PoC代码进行如下操作:
- 列出受害者设备SD卡中的所有文件;
- 列出受害者设备中的所有图片;
- 列出受害者设备中的所有视频;
- 列出受害者设备中的所有音频;
- 列出受害者设备中已安装的所有APP;
- 列出受害者设备中安装的所有系统APP;
- 列出存储在受害者设备SD卡中的所有apk文件;
- 获取与受害者设备相关的信息;
- 从受害者设备下载文件;
- 启动任意APP;
- 获取任意APP的图标。
另一个漏洞可用于中间人(MitM)攻击
据恶意软件研究技术网站Bleeping Computer报道,仅在Robert Baptiste公开披露了CVE-2019-6447漏洞后的几个小时里,来自网络安全公司ESET的安全专家Lukas Stefanko就宣布在ES文件浏览器中发现另一个本地漏洞。
潜在的本地攻击者可以利用这个漏洞来执行中间人(Man-In-The-Middle,MitM)攻击,拦截ES文件浏览器APP的HTTP网络流量,并将其与自己的网络进行切换。
Lukas Stefanko表示,v4.1.9.7.4及更低版本的Android版ES文件浏览器都受这个MitM漏洞的影响。
转载自原文链接, 如需删除请联系管理员。
原文链接:ES文件浏览器曝严重漏洞,或影响数亿Android用户,转载请注明来源!