ES文件浏览器曝严重漏洞，或影响数亿Android用户

据外媒报道，法国安全专家Robert Baptiste（Twitter ID：Elliot Alderson）在ES文件浏览器（ES  File Explorer）中发现了一个严重的安全漏洞（CVE-2019-6447），该漏洞可能会暴露数亿Android用户的敏感数据。"

ES文件浏览器是一款深受广大Android用户欢迎的文件管理工具，这不仅来源于它的使用方便和功能强大，而且还来源于它的完全免费。根据ES文件浏览器开发方的说法，这款文件管理工具，在GooglePlay商店上的下载量早已超过1亿，在全球范围内更是拥有超过4亿的下载量。

漏洞允许攻击者窃取数据，即使APP关闭

Robert Baptiste发现，ES文件浏览器APP会使用本地HTTP服务器来监听开放端口59777。

但即使APP已经关闭，服务器仍将一直运行，直到用户将终止所有与ES文件浏览器相关的的后台服务。

如此一来，攻击者就可以连接到该服务器并检索与设备相关的信息，包括已安装的APP列表。事实上，这个漏洞最可怕的地方在于，远程攻击者可以从受害者的设备上窃取文件，并在手机上启动任意APP。

“v4.1.9.7.4及更低版本的Android版ES文件浏览器，允许远程攻击者通过本地Wi-Fi网络上的TCP端口59777请求来读取任意文件或启动任意APP。”

Robert Baptiste解释说，“ES文件浏览器APP在启动一次之后，这个TCP端口将一直保持打开状态，并响应所有未经验证的APP/JSON HTTP上的数据。”

Robert Baptiste还表示，即使受害者没有在Android设备上授予该APP任何权限，这种攻击也仍然会生效。

POC代码已发布，可窃取数据、启动APP

Robert Baptiste目前已经通过GitHub发布了一段PoC代码，可被处于受害者相同Wi-Fi网络下的攻击者用来列出并下载受害者设备或SD卡中的文件，以及启动任意APP或查看与设备相关的信息。

具体来讲，攻击者可以利用Robert Baptiste的PoC代码进行如下操作：

列出受害者设备SD卡中的所有文件；

列出受害者设备中的所有图片；

列出受害者设备中的所有视频；

列出受害者设备中的所有音频；

列出受害者设备中已安装的所有APP；

列出受害者设备中安装的所有系统APP；

列出存储在受害者设备SD卡中的所有apk文件；

获取与受害者设备相关的信息；

从受害者设备下载文件；

启动任意APP；

获取任意APP的图标。

另一个漏洞可用于中间人（MitM）攻击

据恶意软件研究技术网站Bleeping Computer报道，仅在Robert Baptiste公开披露了CVE-2019-6447漏洞后的几个小时里，来自网络安全公司ESET的安全专家Lukas Stefanko就宣布在ES文件浏览器中发现另一个本地漏洞。

潜在的本地攻击者可以利用这个漏洞来执行中间人（Man-In-The-Middle，MitM）攻击，拦截ES文件浏览器APP的HTTP网络流量，并将其与自己的网络进行切换。

Lukas Stefanko表示，v4.1.9.7.4及更低版本的Android版ES文件浏览器都受这个MitM漏洞的影响。