中国锐嘉科的Android固件遭爆有中间人攻击漏洞，280万装置安全警报响起
报价宝综合消息中国锐嘉科的Android固件遭爆有中间人攻击漏洞，280万装置安全警报响起
示意图，与新闻事件无关。
上周资安业者Kryptowire才踢爆中国上海广升信息技术（Shanghai Adups Technology）的固件空中（FOTA）更新系统含有可定期传递使用者资讯的后门之后，AnubisNetworks 本周再度揭露来自另一中国业者锐嘉科（Ragentek Group）的Android固件含有中间人攻击（MITM）漏洞，影响约280万台Android装置。
根据卡内基美隆大学CERT的说明，由锐嘉科打造的Android固件中含有一个特权二进制程式，可用来检查空中（OTA）更新，此外，该固件内还有许多用以隐藏执行该二进制程式的技术，类似rootkit行径。由于此一OTA的通讯并未加密，将允许骇客取得根权限并执行任意程式。
AnubisNetworks则说，该固件被应用在许多低价的Android装置上，大约影响55种型号的280万个装置，涉及Blu Products（26.3%）、Infimi（8.2%）、Doogee（7.5%）、Leagoo（4.0%）、与Xolo（3.8%）等品牌，其中，Blu Products已是第二次被点名，这家美国手机制造商先前即是上海广升Android固件的受害者。(下图，来源：AnubisNetworks )
AnubisNetworks向Best Buy购得了采用锐嘉科固件的Blu Studio G，成功验证了该漏洞的存在。目前Blu Products已修补了该漏洞，而CERT则建议Android用户避免使用公开或不可靠的网络环境。
