Open Handset Alliance Android 'content://' URI信息泄露漏洞
CVE编号
CVE-2010-4804利用情况
暂无补丁情况
N/A披露时间
2011-06-09漏洞描述
Open Handset Alliance Android是一款超过30家科技与移动电话公司所组成的团体开发的免费的移动电话平台。Android存在安全漏洞，允许恶意站点获得SD卡上存在的任意文件内容。Android浏览器下载文件时没有提示用户，如"payload.html"，会自动下载到/sdcard/download/payload.html。使用JavaScript，可获得此负载并自动打开，导致浏览器渲染本地文件。在此本地上下文打开一个HTML文件时，Android浏览器不会提示用户即运行JavaScript。而同时在这个本地上下文中，JavaScript可读取文件内容或其他数据。解决建议
Open Handset Alliance Android 2.3.4已经修复此漏洞，建议用户下载使用：http://www.openhandsetalliance.com/android_overview.html受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 系统 | android | * | Up to (including) 2.3.3 | ||||||
| 运行在以下环境 | |||||||||
| 系统 | android | 1.5 | - | ||||||
| 运行在以下环境 | |||||||||
| 系统 | android | 1.6 | - | ||||||
| 运行在以下环境 | |||||||||
| 系统 | android | 2.1 | - | ||||||
| 运行在以下环境 | |||||||||
| 系统 | android | 2.2 | - | ||||||
| 运行在以下环境 | |||||||||
| 系统 | android | 2.2.1 | - | ||||||
| 运行在以下环境 | |||||||||
| 系统 | android | 2.2.2 | - | ||||||
| 运行在以下环境 | |||||||||
| 系统 | android | 2.3 | - | ||||||
- 攻击路径 网络
- 攻击复杂度 N/A
- 权限要求 无
- 影响范围 N/A
- 用户交互 需要
- 可用性 无
- 保密性 部分地
- 完整性 无
| CWE-ID | 漏洞类型 |
| CWE-200 | 信息暴露 |
Exp相关链接
- avd.aliyun.com
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论