尴尬了：谷歌Android Samba应用仅支持不安全的SMBv1

近日谷歌首次推出其新的Android Samba应用，这显然不是好的发布时机，因为在不久前，在重大攻击事故中攻击者就利用了该应用中部署的不安全版本SMB协议。

最近几个月来，服务器消息块(SMBv1)协议中的漏洞通过NSA泄漏的EternalBlue工具在Windows系统被利用，作为WannaCry和Petya勒索软件攻击的一部分，以及针对Linux的SambaCry攻击的一部分。虽然目前尚不清楚这些漏洞是否存在于谷歌的应用中，但该Android Samba应用仅支持SMBv1。

罗马尼亚反恶意软件公司Bitdefender高级电子威胁分析师Liviu Arsene指出，谷歌发布的时机可能不太好。

“在整个WannaCry/GoldenEye事件之前，该应用早已经在谷歌产品路线图中，而通过SMBv1编码的部分在这些事件之前已经构建，”Arsene表示，“但无论如何，对SMBv1支持早已经减少，而且出于明显的安全问题，大家都应该禁用它。”

网络安全供应商Plixer International审计与合规性主管Justin Jett则表示，由于谷歌的Android Samba应用是Samba的直接分支，它本身与Samba一样安全。

“然而，SMBv1是Windows操作系统的一部分，修复微软操作系统是消除EternalBlue SMBv1漏洞的唯一已知方法。SMBv1仍然在世界各地广泛部署，而这款来自谷歌的新Samba应用让Android和Chrome OS用户可连接到Windows共享驱动器，”Jett称，“该Samba应用不会影响SMBv1漏洞状态;无论是否已经安装微软补丁。后续版本SMBv2和v3具有更强的安全性，但SMBv1被广泛使用，该谷歌应用是针对这些用户。”

Arsene指出，谷歌的Android Samba应用不太可能会导致针对Android的SambaCry类似攻击，“仍然使用SMBv1的Samba服务器比Android设备具有更高的风险。”

Arsene还表示，目前尚不清楚谷歌是否有必要发布自己的Android Samba应用。

“Google Play确实有相当数量的Samba文件共享客户端，这些客户端的下载次数似乎已经达到几百万次，”Arsene称，“我们无法确定谷歌是否有必要发布自己的应用，特别是因为它似乎没有提供比现有应用更多的功能。”

在Google Play中，最受欢迎的Android Samba应用AndSMB拥有一百万到五百万次左右的下载量，但它似乎有着与谷歌应用相同的问题。AndSMB仅支持SMBv1，直到2017年6月5日3.5版本发布，其中为SMBv2和v3增加了“实验性”支持。

截至本文发布时，谷歌尚未对此发表评论。