“心脏流血”漏洞死灰复燃?Android设备或遭攻击

在安全公司Codenomicon和谷歌安全工程师发现了“心脏流血”(Heartbleed)漏洞，并提交给相关管理机构整整7周后，这一漏洞似乎依旧在给人们制造问题。据葡萄牙互联网安全研究人员刘易斯-格兰吉亚(Luis Grangeia)透露，黑客可以利用这一漏洞通过Wifi展开类似的攻击行为。

[[113717]]

据悉，格兰吉亚所发现的新型攻击形式被称为“Cupid”。“Cupid”的攻击步骤与“心脏流血”完全一致，只不过前者主要利用的不是开放Web，而是WiFi网络展开攻击。比如，该漏洞允许黑客截取Android设备和路由器之间的通信数据。同时，黑客也能够获悉目标设备存储在内存上的部分信息，因此而有可能导致用户的个人认证凭证、个人信息遭到泄露。

目前，格兰吉亚已经针对自己的发现发布了一份研究报告，并敦促设备供应商和网络管理方尽快升级自己的现有设备。

到目前为止，我们尚不清楚有多少设备会受到这一漏洞的影响，但相信“Cupid”所造成的负面影响要比“心脏流血”减轻许多。分析人士认为，最有可能遭遇类似漏洞入侵是那些采用可扩展认证协议(EAP)的路由器，这类路由器通常需要用户名和密码才能够正常工作，但这一漏洞却可以利用“心脏流血”漏洞绕过这一安全机制。

格兰吉亚所担心的另一个方面是，目前运行Android 4.1.1的设备也面临着遭受“心脏流血”漏洞的影响。比如，黑客可以利用这一漏洞架设一个公开的Wifi网络，一旦用户手机连接了这一网络后，黑客便有可能从设备中读取数据。可以肯定的是，虽然许多用户已经在“心脏流血”漏洞最先被披露的时候升级了系统，但目前仍然有数百万之巨的Android设备运行着该操作系统。

备注：Heartbleed(心脏流血)漏洞：今年4月初，安全公司Codenomicon的工程师安蒂·卡加莱能(Antti Karjalainen)在正常的工作时，却偶然发现了互联网史上最大的安全漏洞——Heartbleed(心脏流血)漏洞。Heartbleed漏洞影响了被广泛使用的开放源代码SSL安全套件OpenSSL的加密协议。简言之，这个漏洞可以诱使服务器将其内存中的数据溢出来，从而可能让黑客掌握这一漏洞，并进一步窃取诸如信用卡和密码等之类的敏感信息。