SSV-AppDir: Android漏洞
发布时间: 2013-09-04 (GMT+0800)
漏洞版本:

Android < 4.2

漏洞描述:

Google Android是一种以Linux为基础的开放源代码操作系统，主要使用于便携设备

android的sdk中封装了webView控件。这个控件主要用开控制的网页浏览。其中webView下有一个非常特殊的接口函数addJavascriptInterface，能实现本地java和js的交互。利用addJavascriptInterface这个接口函数可实现穿透webkit控制android 本机

攻击者可以构建恶意WEB页，诱使用户解析，可以应用程序上下文执行任意命令

目前如下应用证实受此漏洞影响：
百度
QQ浏览器
手机迅雷最新版
腾讯微博手机客户端
QQ安卓
微信android客户端
百度浏览器
金山猎豹浏览器
欧鹏浏览器
天天浏览器
海豚手机浏览器
快播安卓客户端

<* 参考

   http://drops.wooyun.org/papers/548
   http://www.wooyun.org/bugs/wooyun-2013-036164
   http://www.wooyun.org/bugs/wooyun-2013-036154
   http://www.wooyun.org/bugs/wooyun-2013-036138
   http://www.wooyun.org/bugs/wooyun-2013-036123
   http://www.wooyun.org/bugs/wooyun-2013-036121
   http://www.wooyun.org/bugs/wooyun-2013-036115
   http://www.wooyun.org/bugs/wooyun-2013-036096
   http://www.wooyun.org/bugs/wooyun-2013-036129
   http://www.wooyun.org/bugs/wooyun-2010-035616
   http://www.wooyun.org/bugs/wooyun-2010-035600
   http://www.wooyun.org/bugs/wooyun-2010-035576
   http://50.56.33.56/blog/?p=314

*>

子辉安全建议:

安全建议
1、Android 4.2 （api17）已经开始采用新的接口函数，@JavascriptInterface  代替addjavascriptInterface, 有些android 2.3不再升级，浏览器需要兼容。
2、在使用js2java的bridge时候，需要对每个传入的参数进行验证，屏蔽攻击代码。
3、控制相关权限或者尽可能不要使用js2java的bridge。
 
厂商解决方案
目前没有详细解决方案提供：
http://www.openhandsetalliance.com/android_overview.html