好可怕的漏洞！可以遠端控制全球超過20億台行動裝置！

資安業者Accuvant Labs的兩名研究人員Mathew Solnik與Marc Blanchou本周在拉斯維加斯舉行的黑帽大會（Black Hat）上指出，全球有超過20億的行動網路裝置安裝了含有漏洞的遠端管理程式，讓駭客能夠藉以取得權限在裝置上安裝程式或存取機密資訊。

此一講題為「全球規模的行動網路攻擊」（Cellular Exploitation on a Global Scale），展示的是電信營運商為了遠端控制行動裝置並基於「開放行動聯盟裝置管理」（Open Mobile Alliance Device Management，OMA-DM）協定所導入的特定軟體含有安全漏洞而產生的風險，被點名的則是由Red Bend所開發的vDirect Mobile客戶端裝置管理軟體。

OMA-DM為一裝置管理協定，可用來管理手機、平板電腦、筆電、M2M，甚至是汽車等各種可透過行動網路連網的裝置，全球的電信營運商幾乎都會在所銷售的手機中安裝基於該協定的軟體，以用來進行遠端的軟體或韌體更新。

Solnik與Blanchou表示，行動營運商在這類的軟體中部署了某些隱藏的控制功能，他們透過逆向工程來分析嵌入的基頻與程式，找出潛藏的控制功能並了解其運作原理，然後挖掘出當中的一些漏洞，撰寫出概念性驗證程式，並展示如何破解上鎖的螢幕，遠端執行程式，以及越獄。

↓　Accuvant Labs安全研究人員展示如何遠端替螢幕解鎖。

Accuvant之所以鎖定由Red Bend所開發的vDirect Mobile客戶端裝置管理軟體，是因為全球由電信業者所售出的手機中，有7～9成安裝該軟體，同時Red Bend自己也宣布全球有超過20億的裝置、上百家製造商與行動營運商使用該公司的軟體。

Red Bend則事先於7月底發出聲明指出，Accuvant可能會在8月初展示vDirect Mobile裝置管理軟體的舊有漏洞，該公司在6月中取得相關報告後便著手修補，目前所有的新版皆已有所改善。（編譯/陳曉莉）