UC浏览器中心人攻击(MITM)误差清静通告

宣布时间 2019-03-28

误差编号和级别


CVE编号：暂无，，，，，，危险级别：高危，，，，，， CVSS分值：官方未评定


影响规模


受影响版本： 

现在UC浏览器移下手机版以及桌面版均受影响。。。。


误差概述


自2016年以来，，，，，，UC浏览器中泛起了一个潜在危险的更新功效。。。。只管该应用程序还没有看到分发木马或不需要的软件，，，，，，但它加载和启动新的和未履历证的模�？榈墓πё槌闪饲痹诘耐�。。。。


UC浏览器的易受攻击的功效可用于执行中心人攻击（MITM）。。。。为了下载新插件，，，，，，浏览器向下令和控制效劳器发送请求，，，，，，并吸收响应文件的链接。。。。

 

人生就是博-尊龙凯时中国官网


由于程序通过不清静的通道（HTTP协议而不是加密的HTTPS）与效劳器通讯，，，，，，因此网络犯法分子可以hook来自应用程序的请求。。。。他们可以用包括差别地点的下令替换下令。。。。这使得浏览器从恶意效劳器而不是自己的下令和控制效劳器下载新模�？�。。。。由于UC浏览器使用未署名的插件，，，，，，它将启动恶意模�？槎扌枞魏窝橹�。。。。


因此，，，，，，MITM攻击可以资助网络犯法分子使用UC浏览器撒播执行州操作的恶意插件。。。。例如，，，，，，他们可以显示网络垂纶邮件以窃取用户名，，，，，，密码，，，，，，银行卡详细信息和其他小我私家数据。。。。别的，，，，，，木马模�？榻芄换峒鼙；；；；；さ匿榔魑募⑶匀〈娲⒃诔绦蚰柯贾械拿苈�。。。。


鉴于UC浏览器在全球规模内的装机量，，，，，，该误差所带来的威胁禁止小觑。。。。除了UC浏览器之外，，，，，，Google Play还上架了一款“UC 浏览器 Mini版”，，，，，，显示装置次数已经凌驾1亿。。。。在UC 浏览器 Mini版本中，，，，，，同样保存绕过Google Play下载未经测试插件的行为，，，，，，这批注同样保存中心人攻击的危害。。。。不过，，，，，，下述误差使用所展示的中心人攻击方法并不适用于Mini版本的UC浏览器。。。。
 
 人生就是博-尊龙凯时中国官网

人生就是博-尊龙凯时中国官网


误差使用


下面为验证案例。。。。显示了通过UC浏览器下载PDF文档并实验审查的潜在受害者。。。。

要翻开文件，，，，，，浏览器会实验从下令和控制效劳器下载响应的插件。。。。可是，，，，，，由于MITM替换，，，，，，浏览器会下载并启动差别的库。。。。然后，，，，，，该库会建设一条文本新闻，，，，，，上面写着“PWNED！”。。。。


下载PDF文档。。。。
  

人生就是博-尊龙凯时中国官网


翻开PDF。。。。


人生就是博-尊龙凯时中国官网


使用中心人攻击替换下载的响应的插件，，，，，，改为会建设一个写着pwned文档的文本新闻的插件。。。。

 

人生就是博-尊龙凯时中国官网


修复建议


阻止本文宣布前，，，，，，UC浏览器官方还未修复此问题，，，，，，建议用户暂时只管阻止使用UC浏览器，，，，，，并在官方宣布更新后，，，，，，尽快升级举行修复。。。。


参考链接


https://news.drweb.com/show/?lng=en&i=13176
https://thehackernews.com/2019/03/uc-browser-android-hacking.html