看到“微软”和“漏洞”这两个关键词，有的读者可能会认为本文的主题是介绍微软Windows操作系统最近出现的严重安全漏洞。

小编以前确实写过很多这样的文章，但这次是个例外。 虽然主角依然是微软，但该漏洞并不是在微软自家的Windows操作系统中发现的，而是在谷歌的Android系统中。

简而言之，微软的安全团队发现了 Android 应用程序中普遍存在的一个关键安全漏洞——是的，你没看错，这种事情很少见，但以前也发生过。

请注意：这不是八卦，而是微软安全团队的分享。 5月1日，微软安全团队发布了一篇题为“脏流”攻击：发现并缓解Android应用程序中常见漏洞模式的文章。 文章（图 1）详细介绍了此漏洞。

微软安全团队表示，他们在许多Android应用程序中发现了与Custom Intents相关的漏洞，并将其命名为“Dirty Stream”。

脏流漏洞允许恶意应用程序覆盖易受攻击的应用程序主目录中的文件2024年微软安全漏洞盘点中用的啥软件啊，从而允许攻击者执行任意代码并窃取凭据，包括用户帐户和敏感数据。

微软安全团队表示，脏流漏洞很常见，他们在Google Play商店中发现了许多存在该漏洞的应用程序2024年微软安全漏洞盘点中用的啥软件啊，其中包括许多累计安装量超过40亿次的主流应用程序。

这些超级应用程序中至少有四个拥有超过 5 亿的安装量。 “两个易受攻击的应用程序”是安装量超过10亿的小米文件管理器和安装量超过10亿的金山WPS Office。 5亿。

需要强调的是，这并不是小编故意“造谣”或者“黑”小米和WPS Office。 它不存在。 本内容全部来源于微软安全团队公开披露的信息。 请参考上图。

Android 通过为每个应用程序分配自己的私有数据和内存空间来强制隔离，但在某些情况下，不同的应用程序可能需要相互传递和交换数据。

为了满足这一需求，Android 提供了一个称为内容提供程序的组件，该组件以安全的方式管理数据并将数据公开给其他已安装的应用程序。

如果开发者正确、严格地使用的话，是不会有任何问题的。 但如果使用不当、不严格，就会产生严重的风险和漏洞，从而绕过应用程序主目录的读写限制。

为了验证和解释这些问题，微软安全团队以小米文件管理器为例。 小米公司的文件管理器是小米设备的默认文件管理器应用程序。

除了完全访问设备的外部存储之外，该程序还具有许多其他权限，包括安装其他应用程序、运行垃圾文件清理插件以及连接到远程 FTP 和 SMB 共享的能力等。

微软安全团队公布了小米文件管理器V1-210567版本中利用脏流漏洞执行任意代码的详细演示流程。 WPS Office 16.8.1 版本也是如此。 由于微软的演示和讲解非常专业且枯燥，而且主要是针对开发者的，所以小编这里就不详细介绍了。 感兴趣的朋友可以登录微软官网阅读。

微软安全团队最终表示，由于发现“该漏洞可能很常见”，因此已向谷歌、小米、WPS Office等公司报告了脏流漏洞。 我们与 Google 合作，为 Android 应用开发人员制定指南，帮助他们识别并避免此漏洞。

至于之前小编提到的小米文件管理器和WPS Office，这两款应用软件的开发团队在收到微软的通知后已经进行了修复。 小米文件管理器版本为V1-210593，WPS Office版本为17.0。 脏流漏洞已在0版本中修复，并已得到微软安全团队的验证和确认。

对此，微软表示：“我们感谢小米公司和 WPS Office 安全团队调查并修复了该问题。截至 2024 年 2 月，已针对上述应用程序部署了修复程序，建议用户保留他们的设备并安装应用程序的版本是最新的。” 参见上图。

补充说明：微软安全团队发表的文章原文为英文。 本文截图均来自该文章。 为方便读者阅读和理解，截图中的内容为机器翻译成中文，仅供参考。