UC浏览器中心人攻击(MITM)误差清静通告

宣布时间 2019-03-28

误差编号和级别


CVE编号：暂无，，，，，，危险级别：高危，，，，，， CVSS分值：官方未评定


影响规模


受影响版本： 

现在UC浏览器移下手机版以及桌面版均受影响。。。。 。。。。


误差概述


自2016年以来，，，，，，UC浏览器中泛起了一个潜在危险的更新功效。。。。 。。。。只管该应用程序还没有看到分发木马或不需要的软件，，，，，，但它加载和启动新的和未履历证的�？？？？榈墓πё槌闪饲痹诘耐�。。。。 。。。。


UC浏览器的易受攻击的功效可用于执行中心人攻击（MITM）。。。。 。。。。为了下载新插件，，，，，，浏览器向下令和控制效劳器发送请求，，，，，，并吸收响应文件的链接。。。。 。。。。

 

凯发·k8(中国游)官方网站


由于程序通过不清静的通道（HTTP协议而不是加密的HTTPS）与效劳器通讯，，，，，，因此网络犯法分子可以hook来自应用程序的请求。。。。 。。。。他们可以用包括差别地点的下令替换下令。。。。 。。。。这使得浏览器从恶意效劳器而不是自己的下令和控制效劳器下载新�？？？？�。。。。 。。。。由于UC浏览器使用未署名的插件，，，，，，它将启动恶意�？？？？槎扌枞魏窝橹�。。。。 。。。。


因此，，，，，，MITM攻击可以资助网络犯法分子使用UC浏览器撒播执行州操作的恶意插件。。。。 。。。。例如，，，，，，他们可以显示网络垂纶邮件以窃取用户名，，，，，，密码，，，，，，银行卡详细信息和其他小我私家数据。。。。 。。。。别的，，，，，，木马�？？？？榻芄换峒鼙；；；；；；；；さ匿榔魑募⑶匀〈娲⒃诔绦蚰柯贾械拿苈�。。。。 。。。。


鉴于UC浏览器在全球规模内的装机量，，，，，，该误差所带来的威胁禁止小觑。。。。 。。。。除了UC浏览器之外，，，，，，Google Play还上架了一款“UC 浏览器 Mini版”，，，，，，显示装置次数已经凌驾1亿。。。。 。。。。在UC 浏览器 Mini版本中，，，，，，同样保存绕过Google Play下载未经测试插件的行为，，，，，，这批注同样保存中心人攻击的危害。。。。 。。。。不过，，，，，，下述误差使用所展示的中心人攻击方法并不适用于Mini版本的UC浏览器。。。。 。。。。
 
 凯发·k8(中国游)官方网站

凯发·k8(中国游)官方网站


误差使用


下面为验证案例。。。。 。。。。显示了通过UC浏览器下载PDF文档并实验审查的潜在受害者。。。。 。。。。

要翻开文件，，，，，，浏览器会实验从下令和控制效劳器下载响应的插件。。。。 。。。。可是，，，，，，由于MITM替换，，，，，，浏览器会下载并启动差别的库。。。。 。。。。然后，，，，，，该库会建设一条文本新闻，，，，，，上面写着“PWNED！”。。。。 。。。。


下载PDF文档。。。。 。。。。
  

凯发·k8(中国游)官方网站


翻开PDF。。。。 。。。。


凯发·k8(中国游)官方网站


使用中心人攻击替换下载的响应的插件，，，，，，改为会建设一个写着pwned文档的文本新闻的插件。。。。 。。。。

 

凯发·k8(中国游)官方网站


修复建议


阻止本文宣布前，，，，，，UC浏览器官方还未修复此问题，，，，，，建议用户暂时只管阻止使用UC浏览器，，，，，，并在官方宣布更新后，，，，，，尽快升级举行修复。。。。 。。。。


参考链接


https://news.drweb.com/show/?lng=en&i=13176
https://thehackernews.com/2019/03/uc-browser-android-hacking.html