UC浏览器中心人攻击(MITM)误差清静通告

宣布时间 2019-03-28

误差编号和级别


CVE编号：暂无，，，，，，，危险级别：高危，，，，，，， CVSS分值：官方未评定


影响规模


受影响版本： 

现在UC浏览器移下手机版以及桌面版均受影响。。。。


误差概述


自2016年以来，，，，，，，UC浏览器中泛起了一个潜在危险的更新功效。。。。只管该应用程序还没有看到分发木马或不需要的软件，，，，，，，但它加载和启动新的和未履历证的�？？？？？？？榈墓πё槌闪饲痹诘耐�。。。。


UC浏览器的易受攻击的功效可用于执行中心人攻击（MITM）。。。。为了下载新插件，，，，，，，浏览器向下令和控制效劳器发送请求，，，，，，，并吸收响应文件的链接。。。。

 

鉴黑担保网(jhdbw)·最具权威唯一维权担保平台


由于程序通过不清静的通道（HTTP协议而不是加密的HTTPS）与效劳器通讯，，，，，，，因此网络犯法分子可以hook来自应用程序的请求。。。。他们可以用包括差别地点的下令替换下令。。。。这使得浏览器从恶意效劳器而不是自己的下令和控制效劳器下载新�？？？？？？？�。。。。由于UC浏览器使用未署名的插件，，，，，，，它将启动恶意�？？？？？？？槎扌枞魏窝橹�。。。。


因此，，，，，，，MITM攻击可以资助网络犯法分子使用UC浏览器撒播执行州操作的恶意插件。。。。例如，，，，，，，他们可以显示网络垂纶邮件以窃取用户名，，，，，，，密码，，，，，，，银行卡详细信息和其他小我私家数据。。。。别的，，，，，，，木马�？？？？？？？榻芄换峒鼙；；；；さ匿榔魑募⑶匀〈娲⒃诔绦蚰柯贾械拿苈�。。。。


鉴于UC浏览器在全球规模内的装机量，，，，，，，该误差所带来的威胁禁止小觑。。。。除了UC浏览器之外，，，，，，，Google Play还上架了一款“UC 浏览器 Mini版”，，，，，，，显示装置次数已经凌驾1亿。。。。在UC 浏览器 Mini版本中，，，，，，，同样保存绕过Google Play下载未经测试插件的行为，，，，，，，这批注同样保存中心人攻击的危害。。。。不过，，，，，，，下述误差使用所展示的中心人攻击方法并不适用于Mini版本的UC浏览器。。。。
 
 鉴黑担保网(jhdbw)·最具权威唯一维权担保平台

鉴黑担保网(jhdbw)·最具权威唯一维权担保平台


误差使用


下面为验证案例。。。。显示了通过UC浏览器下载PDF文档并实验审查的潜在受害者。。。。

要翻开文件，，，，，，，浏览器会实验从下令和控制效劳器下载响应的插件。。。。可是，，，，，，，由于MITM替换，，，，，，，浏览器会下载并启动差别的库。。。。然后，，，，，，，该库会建设一条文本新闻，，，，，，，上面写着“PWNED！”。。。。


下载PDF文档。。。。
  

鉴黑担保网(jhdbw)·最具权威唯一维权担保平台


翻开PDF。。。。


鉴黑担保网(jhdbw)·最具权威唯一维权担保平台


使用中心人攻击替换下载的响应的插件，，，，，，，改为会建设一个写着pwned文档的文本新闻的插件。。。。

 

鉴黑担保网(jhdbw)·最具权威唯一维权担保平台


修复建议


阻止本文宣布前，，，，，，，UC浏览器官方还未修复此问题，，，，，，，建议用户暂时只管阻止使用UC浏览器，，，，，，，并在官方宣布更新后，，，，，，，尽快升级举行修复。。。。


参考链接


https://news.drweb.com/show/?lng=en&i=13176
https://thehackernews.com/2019/03/uc-browser-android-hacking.html