ADVERTISEMENT
近日，安全研究團隊 iVerify 發現了影響全球數百萬 Pixel 裝置的重大 Android 安全漏洞。這一漏洞源自於預裝在 Pixel 手機中的應用程式「Showcase.apk」，該APP具備過高的系統權限，能夠進行遠端程式碼執行和遠端軟體包安裝功能，使受影響的裝置面臨被駭客攻擊的風險。
重大漏洞詳情
iVerify 的研究顯示，Showcase.apk 是一個內建於 Pixel 裝置韌體中的應用程式，自 2017 年 9 月以來已經在全球大量的 Pixel 手機上出現。這款應用程式的問題在於，它透過不安全的 HTTP 連接下載配置檔案，使得駭客能夠進行中間人攻擊（MITM），並且注入惡意程式碼或安裝間諜軟體。
Showcase.apk 的一大危險在於，該應用程式以系統等級的權限運行，這使駭客能夠透過修改配置檔案，執行具有系統權限的命令或模組，進而全面控制受害者的裝置。由於這款應用程式的存在是非惡意的，它可能不會被大多數的安全技術偵測到，也因此增加了駭客利用的風險。
展示的應用目的與安全隱患
Showcase.apk 的主要設計目的是將 Pixel 手機轉變為展示裝置，這一點在商店展示機上尤為常見。然而，這款應用程式的功能卻超出了展示的需求，其具備的高度權限在設計上是不必要的，使得它成為了一個潛在的重大安全隱患。
其中，該應用程式在下載配置檔案時未能進行有效的身份驗證，且預設的變量初始化過於簡單，導致驗證機制易於被繞過。更嚴重的是，配置檔案的傳輸過程也缺乏有效的安全措施，駭客可以輕易地在傳輸過程中篡改配置檔案，進而控制受害裝置。
潛在影響及使用者保護
由於 Showcase.apk 無法透過標準的反安裝流程移除，這使得受影響的裝置使用者面臨較大的風險。目前，Google 尚未釋出針對這一漏洞的修補程式，這意味著大量 Pixel 裝置依然暴露在可能的攻擊之下。iVerify 已經將詳細的漏洞報告提交給 Google，並依照業界慣例給予了 90 天的披露期限。然而，Google 何時會推出修補或移除該軟體的方案，目前仍然是未知數。
針對這一漏洞的發現，一些企業已經開始採取行動。例如，Palantir Technologies 在協助調查過程中發現了這一漏洞，並決定逐步淘汰其行動設備中的 Android 裝置，轉而全面採用蘋果裝置，以避免類似的安全風險。
結語
Showcase.apk 的發現再次突顯了第三方應用程式作為作業系統一部分所可能帶來的巨大風險。這不僅呼籲各大科技公司在設備出廠前加強品質保證和滲透測試，還強調了使用者應該對設備中的預裝應用保持警惕。隨著數位化進程的加快，設備安全性的重要性日益突出。這次事件無疑將促使業界更加重視設備安全，避免未來發生類似的安全事故。
對於廣大 Pixel 手機使用者而言，當前最好的防護措施是保持應用程式不啟用，並關注 Google 是否會釋出相關的修補程式。同時，使用者應該謹慎處理來自不明來源的檔案或連接，以防止因不安全的應用程式帶來的潛在風險。
請注意！留言要自負法律責任，相關案例層出不窮，請慎重發文！