ES文件浏览器被曝安全漏洞 用户资料可能被盗

该应用在 Google Play 上的安装数量超过1亿，开发商 ES Global 提到应用的全球用户数已突破5亿。

关于该漏洞，安全研究人员 Elliot Alderson 指出，每当使用者打开应用，都会启动 http 服务器，在本地会打开端口 59777。通过这个端口，攻击者可以注入 JSON 有效负载，获得相关用户手机上的照片、档案等文件信息，并且可以直接下载下来。

在该安全研究人员公布成果几小时后，另一位 Android 恶意程式研究人员 Lukas Stefanko 也介绍他在 ES 文件浏览器发现的中间人攻击（MITM）漏洞，攻击者只需连上与用户相同的网络，就能拦截 HTTP 流量——这主要是因为该应用未使用 HTTPS 加密传输协议，使得公共 Wi-Fi 用户承担安全风险。

目前 ES 文件浏览器新版（v 4.1.9.9）已在 Google Play 上架，更新说明提到“修复局域网 http 漏洞“。国内用户可在应用商店等渠道搜索新版，完成应用的更新。

本文素材来自互联网