昨天,一份“百度全係APP　SDK漏洞——WormHole蟲(chóng)洞漏洞分析報(bào)告”在網(wǎng)上流傳。文中稱,“找到了一個(gè)非常嚴(yán)重的socket遠(yuǎn)端攻擊漏洞,影響多個(gè)用戶量過(guò)億的APP。”為此,百度方面對(duì)北京青年報(bào)記者回應(yīng)已經(jīng)在第一時(shí)間將漏洞修復(fù),建議用戶儘快升級(jí)到最新版本;同時(shí)表示蘋(píng)果用戶不受影響。

　　北青報(bào)記者發(fā)現(xiàn),該漏洞10月14日已在烏雲(yún)平臺(tái)上提交,標(biāo)題為“百度係應(yīng)用安卓版遠(yuǎn)端代碼執(zhí)行漏洞(百度地圖/輸入法為例)”。據(jù)烏雲(yún)報(bào)告,百度全係安卓APP存在一個(gè)“WormHole”的安全漏洞,只要安卓設(shè)備連接網(wǎng)路,無(wú)論是否root,駭客都能對(duì)設(shè)備實(shí)現(xiàn)遠(yuǎn)端操控,安裝指定應(yīng)用;同時(shí),還可上傳隱私短信和照片,彈出對(duì)話方塊顯示廣告或釣魚(yú)連結(jié)等。據(jù)烏雲(yún)報(bào)告,該漏洞影響許多安卓平臺(tái)用戶量過(guò)億的APP,其中便包括:百度地圖、百度雲(yún)、百度輸入法等十多款百度係APP。

　　專業(yè)人士指出,“WormHole”是基於百度的廣告端口存在身份驗(yàn)證和許可權(quán)控制缺陷而産生的。此端口本來(lái)是用於廣告網(wǎng)頁(yè)、升級(jí)下載、推廣APP　的用途。駭客拿下這個(gè)端口的許可權(quán),便可以獲得手機(jī)近乎全部的控制權(quán)。

　　為此,百度方面對(duì)北青報(bào)記者回應(yīng)表示,“百度安全團(tuán)隊(duì)在此之前已發(fā)佈預(yù)警資訊,並在第一時(shí)間進(jìn)行了漏洞修復(fù)。目前,百度系列産品安卓版本已全部完成新版本更新上線,蘋(píng)果手機(jī)産品不受影響。請(qǐng)用戶儘快升級(jí)到最新版。感謝安全社區(qū)的幫助和大家關(guān)心。”網(wǎng)友對(duì)此迅速響應(yīng)評(píng)論道“態(tài)度不錯(cuò)”、“百度速度就是快”。(見(jiàn)習(xí)記者　溫婧)