近日，美国网络安全公司 FireEye 披露了一个严重的信息泄露漏洞，该漏洞是由移动芯片巨头高通公司引入到 Android 系统中的。

关于高通

高通 (Qualcomm)是一家美国的无线电通信技术研发公司，成立于 1985 年 7 月，在以技术创新推动无线通讯向前发展方面扮演着重要的角色。除此之外，该公司还在 CDMA 技术方面处于领先地位而闻名，而 LTE 技术已成为世界上发展最快的无线技术。高通十分重视研究和开发，并已经向 100 多位制造商提供技术使用授权，基本上涉及了世界上所有电信设备和消费电子设备的品牌。

漏洞 CVE-2016-2060

FireEye 的安全研究人员称，过去五年，很多 Android 手机都存在一个漏洞，会导致用户的短信、电话记录和其它私人敏感数据被窥探。而这个漏洞最早可以追溯到 Androidv4.3 及早期版本。除此之外，如果安卓操作系统的版本越旧，那么设备遭受攻击的可能性也就越大。如果设备运行的安卓操作系统为 SE Android,由于这一系统采用了增强型的安全加密措施，所以这些设备受攻击的可能性相对来说是比较小的。

漏洞编号为 CVE-2016-2060，是移动芯片巨头高通公司引入到 Android 系统中的，它为系统服务 network_manager（netd）释出了一组编程接口。

安全研究人员在今年的一月份将此漏洞的相关信息秘密提交给了高通公司，高通公司随后便着手处理这一问题，并承诺在九十天的漏洞修复期内修复这个问题。

安全研究人员认为，这个漏洞之所以会存在，是因为安卓操作系统中 Netd 守护进程的接口参数没有对输入数据进行类型检测。

安全研究专家在安全公告中说到:

高通公司在向network_manager系统服务中添加新的应用程序编程接口时，意外引入了这一漏洞，导致netd守护进程直接受到了这一漏洞的影响。据了解，高通公司已经对netd守护进程进行了修复处理。

目前，安全研究人员仍然不能确定这一漏洞的影响范围。现在，大量的安卓设备都配备了高通芯片，而且或多或少地都会使用高通公司开发出来的软件，这些设备还包括目前最为流行的商用手机和平板电脑在内。

恶意应用程序只需要使用官方提供的安卓应用程序编程接口，即可利用这个漏洞来对目标设备进行攻击。除此之外，由于 ApI 是由官方提供的，它不会那么容易就被自动化的反恶意软件工具所检测到。即使此漏洞发现者 FireEye,也无法使用他们的工具检测到利用此漏洞的恶意软件。用户只需下载一个看似无害的应用程序，然后允许它访问网络，那么这名用户就会被攻击。

再加上安卓系统碎片化特点，这也使得这项漏洞变得更加难以被识别。在 2011 年高通发布 ApI 之时，当时的安卓系统版本还是 Gingerbread （2.3）. 目前该漏洞已经存在于 Lollipop (5.0)， KitKat (4.4) 和 Jelly Bean (4.3) 系统中。并且，版本越低，对此漏洞的抵抗力就低，Radio用户就更容易获取隐私数据。

安全研究人员表示，在旧款的安卓设备中，恶意应用程序不尽可以从手机的短信数据库中提取出用户的短信，而且还可以从通话数据库中提取出用户的通话记录。而且在手机联网之后，攻击者还可以进行其他一系列的非法操作。

相比之下，新款设备受此漏洞影响的可能性就比较小了，但是恶意应用程序仍然可以修改新款设备中的某些系统属性。

不过，好消息是，目前还没有出现跟此漏洞相关的受害者。不过，FireEye 承认，一旦这项漏洞被黑客所利用，后果不堪设想。高通目前已经修补此漏洞，谷歌也针对此漏洞发布了名为CVE-2016-2060 漏洞安全公告。坏消息是:目前还不知道谷歌何时、甚至是否会将修复补丁推送给消费者