AppStore出现漏洞 用户隐私遭大规模泄漏
AppStore出现漏洞 用户隐私遭大规模泄漏
2016-02-01 15:20:32 来源：游戏狗
抢沙发
2016-02-01 15:20:32 来源：游戏狗
摘要：开源工具JSPatch最初来自中国。自2015年发布后在中国市场备受青睐，许多受欢迎和备受瞩目的中文苹果应用程序都使用了这一技术，但FireEye发现，中国之外的开发商也都使用了这一技术框架。
关键词：
AppStore
AppStore出现漏洞 用户隐私遭遇大规模泄漏，一般来说所有的app上架商店的时候都会经过苹果的严格审查，不过苹果的审查也并非是万能的，今日就曝光了一个针对苹果设备隐私的漏洞，已有数千款应用中招。
FireEye称，在苹果iOS应用商店内有1220款应用可能会受此影响。FireEye未透露这些应用的具体名称，但其已通知了这些应用的开发商。FireEye警告称，尽管JSPatch技术对于iOS开发十分有用，但如果被黑客利用，可能给用户带来巨大风险。
据悉，开源软件JSPatch上存在的安全漏洞，可致黑客随意访问用户设备当中的照片、麦克风和剪贴板数据以及其他涉及个人隐私的功能。
JSPatch框架
开源工具JSPatch最初来自中国。自2015年发布后在中国市场备受青睐，许多受欢迎和备受瞩目的中文苹果应用程序都使用了这一技术，但FireEye发现，中国之外的开发商也都使用了这一技术框架。
FireEye指出，JSPatch框架可以使攻击者有效规避苹果应用商店的审查程序，并使攻击者在受害设备上肆意强制执行程序，而任何反病毒工具都很难捕获该框架代码。
FireEye 在一篇博客中称，“JSPatch对于iOS开发者来说是一个福音。正确使用它，可以迅速和有效地部署补丁和更新代码。但现实世界并非我们想象中的那样完美，我们必须假设这一技术被坏人利用、用于意想不到的用途。具体来说，如果攻击者能够篡改JavaScript文件内容，那么其就可以以成功地对苹果应用商店内的一个应用发动攻击。”
FireEye称，JSPatch是为数不多的几款面向iOS开发者提供低成本修复应用之一。其他类似的几款产品也存在类似潜在攻击威胁。
如何规避漏洞
FireEye新兴技术负责人乔什·戈德法布(Josh Goldfarb)表示，“狡猾的攻击者可能会使用该技术框架，事先编写一款合法且没有恶意的应用，然后提交苹果应用商店审核。一旦通过审核，将正式进入苹果应用商店，它就能够给设备发送非法恶意指令。”
至于如何规避JSPatch漏洞风险，戈德法布表示：“我的建议十分标准：只你需要，而且你了解、你信任的应用。谨防那些向你征求访问权限的应用。记住，仅向那些你认为必须的应用提供访问权限。”
其实对于iOS用户而言，这并非首次遭遇大面积应用漏洞威胁。2015年10月，安全研究公司SourceDNA发现了数百款iOS在采集用户的隐私信息，同时违反了苹果的安全和隐私指南。而这仅距恶意代码XcodeGhost对苹果应用商店发动攻击一个月后。
在解释这一手机漏洞时，戈德法布称：“移动设备是攻击者比较青睐的攻击目标，因为相对于笔记本电脑和台式电脑而言，它们缺乏安全防护。未来我们将会看到，针对移动环境下的恶意攻击越来越多。攻击者会将注意力向金钱聚集的地方转移，因此，我们将会看到更多针对移动设备的攻击。”
苹果AppStore中的应用出现漏洞也不是什么稀奇事，2015年就曾经曝光过一次大规模应用被植入木马的事件，许多国内的应用开发者了被木马感染的Xcode开发工具，导致包括网易云音乐在内的多款知名应用中招。
第三十八届CIO班招生
国际CIO认证培训
首席数据官（CDO）认证培训
责编：pingxiaoli
免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。
