发布日期：2014-07-26
更新日期：2014-07-29
受影响系统：
Google Android SDK
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 68912
CVE(CAN) ID: CVE-2014-4959
Android是基于Linux开放性内核的操作系统，是Google公司在2007年11月5日公布的手机操作系统。
Android SDK提供的SQLi API中，SQLiteDatabase类内的方法delete()存在SQL注入漏洞，攻击者可利用此漏洞绕过某些安全限制、执行未授权操作。
<*来源：MS - SecVeritas.com
链接：
*>
测试方法：
--------------------------------------------------------------------------------
警 告
以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！
/frameworks/base/core/Java/android/database/sqlite/SQLiteDatabase.java
public int delete(String table, String whereClause, String[] whereArgs) {
1492 acquireReference();
1493 try {
1494 SQLiteStatement statement = new SQLiteStatement(this,
"DELETE FROM " + table +
1495 (!TextUtils.isEmpty(whereClause) ? " WHERE " +
whereClause : ""), whereArgs);
1496 try {
1497 return statement.executeUpdateDelete();
1498 } finally {
1499 statement.close();
1500 }
1501 } finally {
1502 releaseReference();
1503 }
1504 }
建议：
--------------------------------------------------------------------------------
厂商补丁：
Google
------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：