百度应用收集用户敏感数据被 Google 短暂下架

2020-11-25 19:56 #Android

在安全公司 Palo Alto Networks 报告百度的 Android 应用百度地图和百度搜索框收集用户敏感数据之后，Google 在其应用商店 Google Play Store 下架了这两款应用。Palo Alto Networks 称，数据收集代码包括在百度应用内的通知系统 Baidu Push SDK 中，收集的信息包括了手机型号、MAC 地址、运营商信息以及 IMSI 号码。百度发言人否认数据收集行为是两款应用下架的原因，称百度应用获得了用户许可去收集这些数据。Google 团队在应用中发现的其它问题导致了其下架，百度正在解决这些问题。目前百度搜索框已经恢复上架，而百度地图也将在问题解决之后很快上架。Palo Alto Networks 称，他们还在中国广告科技公司 MobTech 开发的 ShareSDK 中发现了类似的数据收集代码。

🆕 Broadcast Group

Broadcast groups can have over 200k unlimited members, but only admins can send messages in them. It reserved to the groups that have at least 199k members.

#beta #android v7.5

Nextcloud Android 应用近期更新说明

由于 Google 撤销了 Nextcloud Android 应用的“所有文件访问”权限，导致以下功能受到影响：
1. 自动上传仅支持照片和视频
2. 自定义自动上传文件夹也只能上传媒体文件
3. 上传带有地理位置信息的照片需要新的“位置”权限

Nextcloud 团队正在与 Google 沟通，争取恢复该权限。同时，在即将发布的 3.30.8 版本（RC1 已发布）中，团队将努力让用户更容易理解这些变化。

作为替代方案，用户可以通过 F-Droid 安装 Nextcloud 应用，因为该平台上的权限仍然有效。

原文链接：https://github.com/nextcloud/android/issues/14409

#Nextcloud #Android #Google
#AIGC

Google 推出 Debian Linux Terminal App For Android

2025-03-10 11:57 by 蓝莓村

Google 在 Android 平台推出了 Debian Linux 终端 App，这是它致力于将 Android 变成多用途桌面操作系统的努力的一部分。Debian Linux 终端 App 目前只支持运行 Android 15 的 Pixel 设备，未来会在下一代的 Android 16 版本中提供给所有高性能 Android 设备。对于 Pixel 设备，要使用终端 App 需要首先启用开发者模式（设置 → 关于本机 → 连续点击 Build 号七次），然后进入设置 → 系统→ 开发者选项 → Linux 开发环境。设备的应用抽屉内将会出现终端 App，第一次使用需要下载 500MB 左右的 Debian 系统。终端 App 的设置允许用户调整磁盘空间、设置网络的端口控制以及恢复虚拟机的存储分区等等。

Androidpolice:Android's native Linux Terminal app is live in Google's latest update

#Android

Google 宣布将全部 AOSP 开发工作转移到内部分支上进行，仅在发布新版本时更新公开源码库。

文章提到：
- Android 有两个开发分支，其中内部分支只有签订 GMS 协议的厂商可以访问。
- 目前 Android 大部分组件的开发工作都在内部分支上进行。
- Google 称转移开发工作用分支的原因是为了节省合并公开与内部分支时解决冲突所需的时间。

Android 官网 FAQ 中依然宣称「计划将更多组件的开发工作转移到公开环境」 [1]。

[感谢 夜坂雅 提供此消息。]

androidauthority.com/~

1. source.android.com/~

#Android #Google #OpenSource

Google 新政策：2026 年中起，被安装或 sideload 应用的开发者必须进行实名认证。

- Google 宣称此举是为「让 Android 更安全」及「保护 Android 的开放环境」。
- 预载了 GMS 套件的 Android 认证设备将受此政策影响。
- 政策将于 2026 年九月在部分地区（巴西、印尼、新加坡、泰国等）生效；后续将覆盖更多地区。

1. https://developer.android.com/developer-verification
2. androidauthority.com/~

#Google #Android

F-Droid and Google's Developer Registration Decree

F-Droid 项目针对谷歌要求 Android 设备安装应用需开发者注册的计划发布紧急声明。F-Droid 表示无法强制开发者通过谷歌注册应用，但也不能直接接管其分发的开源应用标识，否则将变相垄断这些应用的发布权。

若该政策实施，F-Droid 及其他自由/开源应用分发平台将无法维持现有模式。全球用户将失去可被任何人验证的数千款可信应用库，既无法安装新应用，也无法更新已安装应用。开源生态的安全基石将面临瓦解。

原文链接：https://lwn.net/Articles/1039904/
#开源生态 #Android政策 #应用分发
#AIGC

Read more

Keep Android Open 网站发布，批评对 Android 开发者的实名认证要求。

F-Droid 等第三方应用商店网站在其主页上方横幅展示了此页的链接。

https://keepandroidopen.org

thread: /4768

#Android

#security #CVE #Android
危险！Android 无线调试认证被绕过：0 点击获取 ADB Shell
Android ADB 曝出认证绕过高危漏洞（CVE-2026-0073，CVSS 3.1：8.8），攻击者通过构造特定算法的 TLS 证书，可绕过主机 RSA 密钥配对校验，直接获取目标设备的 Shell 权限。

漏洞触发前置条件：
- 设备开启 Developer options 和 Wireless debugging 或暴露 ADB TCP 服务。
- 设备/data/misc/adb/adb_keys文件包含至少一个先前配对的 RSA ADB 主机密钥。
- 攻击者能够访问该 ADB TCP 端口，例如处于同一局域网。

漏洞描述：
CVE-2026-0073 是 Android adbd 无线调试 / ADB-over-TCP 认证绕过漏洞。漏洞根因在 packages/modules/adb/daemon/auth.cpp 的 adbd_tls_verify_cert()：adbd 会将 TLS 客户端证书公钥与 /data/misc/adb/adb_keys 中保存的 RSA 主机公钥进行比较，但代码使用 if (EVP_PKEY_cmp(...)) 判断认证结果。

EVP_PKEY_cmp() 返回 1 才表示匹配，返回 0 表示不匹配，返回 -1 表示密钥类型不同；由于 -1 在 C/C++ 中也为 true，攻击者提交 EC/Ed25519 等非 RSA 证书时，RSA vs 非 RSA 的比较失败会被误判为认证成功，从而绕过 ADB 主机认证并获得 Shell 用户权限。

https://mp.weixin.qq.com/s/Axi6XZlFmiihXcARsPDwUw

LineageOS 项目谈 Google 的开发者认证计划
#Android

LineageOS 项目谈论了即将生效的 Google Android 开发者认证计划对该项目意味着什么。Android 开发者认证计划意味着所有 Android 安装路径都将通过 Google 控制的基础设施，授予 Google 一个“终止开关”可封禁全球任何 Android 应用或开发者。开发者认证对 LineageOS 项目没有直接影响，但会影响到运行任何官方 ROM 的用户。因为验证开发者的基础设施是 Google Mobile Services（GMS）的一部分，而 LineageOS 默认并不提供也无计划提供 GMS。除非 LineageOS 用户选择安装包含开发者验证基础架构的 GApps 包，否则该功能不会造成任何影响。如果 Google 将该功能集成到 Play Services 中，那么 LineageOS 项目将会全局禁用该功能。
https://lineageos.org/Developer-Verification/