Android被爆存NFC漏洞 面临手机植入恶意软件威胁

　　据外媒报道，通过NFC发送的应用(APK文件)存储在磁盘上，并会在屏幕上显示一个通知。通知消息会询问设备所有者是否允许NFC服务安装来自未知来源的应用。

　　不过一位名叫Y. Shafranovich的安全研究员发现，在Android 8(Oreo)或更高版本上，通过NFC发送的应用不会显示这个提示信息。相反该通知将允许用户轻点一下就可以安装应用，而无需任何安全警告。

　　虽然缺少一个提示信息听起来并不重要，但这是安卓安全模型中的一个主要问题。安卓设备不允许安装来自“未知来源”的应用，因为任何从官方商店之外安装的应用都被认为是不可信和未经验证的。

　　如果用户想在官方商店之外安装应用，他们必须访问安卓操作系统的“安装来自未知来源应用”部分，并启用该功能。

　　在Android 8之前，这个“来自未知来源安装”选项是一个系统范围的设置，对所有应用都是一样的。但是，从Android 8开始，谷歌重新设计了这种机制，使其成为一种基于应用的设置。

　　在最新的Android版本中，用户可以访问安卓安全设置中的“安装未知应用”部分，并允许特定的应用安装其他应用。

　　CVE-2019-2114的错误在于，Android Beam应用也被列入了白名单，获得了与官方应用同样程度的信任。

　　谷歌表示，这并不是有意为之，因为Android Beam服务从来就不是用来安装应用的，而仅仅是用来在设备之间传输数据的。

　　2019年10月发布的安卓补丁将Android Beam服务从可信来源的安卓操作系统白名单中移除。