在 Android 系統上，手機廠商自己的內置 App 擁有獨特的證書金鑰，系統就會容許這些 App 獲得最高權限。不過部分金鑰被盜後，惡意軟件就用來獲得權限進行入侵，Google 最近就發出警告建議廠商定期更換金鑰。
Google 最近在 Android 合作夥伴漏洞計劃 (AVPI) 中發出警告，表示目前有黑客利用盜取得來的證書金鑰來讓惡意軟件成為高權限用戶「android.uid.system」，取得裝置的控制權甚至用戶資料的存取權。Google 在警告中展示了 10 個使用這方式的惡意軟件，同時建議廠商更改他們的平台證書，以及儘量減少使用這種證書的 App，來堵塞這個嚴重的漏洞。
Google 透露，Samsung、LG 和 Mediatek 的裝置都有這個問題，不過不幸中的大幸是，目前沒有證據顯示 Google Play Store 上存在使用這方式進行攻擊的惡意軟件，因此如果用家沒有自行在官方途徑以外安裝其件，則不會面對風險。
來源：The Register
