更糟糕的是，在在 mce Systems 提供的 Android Apps 移动服务框架中，微软研究人员发现了一系列严重的漏洞。,这些易受攻击的Android应用程序在Google Play的官方应用商店中被下载了数百万次，使用户面临命令注入和权限提升攻击等重大风险。 　　

　　

　　(来自：微软安全) 　　

　　

　　相关漏洞包括CVE-2021-42598、CVE-2021-42599、CVE-2021-42600和CVE-2021-42601，它们影响电信运营商定制移动设备上预装的预装应用。 　　

　　

　　微软365 Defender的安全研究员Jonathan Bar Or、Sang Shin Jung、Michael Peck、Joe Mansour和Apurva Kumar表示： 　　

　　

　　这些Android应用程序嵌入在设备的系统映像中，表明它们是工厂安装的默认应用程序。 　　

　　

　　受影响的运营商包括ATT，TELUS，罗杰斯通信，加拿大贝尔和自由移动。 　　

　　

　　尴尬的是，所有相关的安卓应用都逃过了谷歌官方应用商店(Google Play Protect)的自动安全检查。 　　

　　

　　更糟糕的是，在没有获得设备root访问权限的情况下，这类默认预装应用无法完全卸载或禁用。 　　

　　

　　(图片来自：mce系统) 　　

　　

　　虽然在微软今天公开披露相关安全漏洞之前，设备制造商已经修复了相关漏洞，以保护其客户免受攻击。 　　

　　

　　然而，一些提供终端设备的电信公司/移动服务商并没有彻底清除使用相同隐患服务框架的Android应用。 　　

　　

　　微软补充道： 　　

　　

　　如果有别有用心的人在客户端设备上部署Android应用程序(包名为com.mce.mceiotraceagent)，其他设备也可能遇到这样的漏洞和潜在的攻击。 　　

　　

　　由于这些预装应用拥有广泛的系统权限，相关漏洞可能成为攻击者获取系统配置和其他敏感信息的攻击媒介。 　　

　　

　　有鉴于此，研究人员建议，发现设备上安装了安卓应用的用户，应及时清理并打上最新的系统安全补丁。 　　

　　

　　最后，当BleepingComputer周五早些时候联系微软时，微软尚未披露受影响的安卓应用和移动运营商的完整名单。