(转载)小米手机的严重安全漏洞:未解锁可查看所有音频文件

[qiaofanxing]

全文： https://imgur.com/a/Wlw6NUY

[murmur]

亲测数据有隔离，录音文件访问不到

[hahiru]

只有部分音乐和铃声可以访问。录音文件看不到。

[AlexShui]

我看酷安很多人在测试，好像是要在锁屏界面的相机里面能看到 ”微电影“这个功能（部分机型、软件可能没有这个功能），并且在 download （ Download ？）文件夹里面有音频文件，才能被看到

[dode]

复现

[liaohongxing]

我只看到了两个铃声可以访问。录音文件看不到。

[Kiske]

欧版澎湃 OS1.0 可以复现

[Kiske]

@AlexShui 我是 Music 文件夹里, 自己搜集的歌, 都可以看到

[somebody1]

@AlexShui

小米 14 ，澎湃 2.0.101.0 ，只能看到我下载的音乐，录音文件看不到，应该就是你说的要在 download 文件夹才可以。

[AlexShui]

@Kiske #7
@somebody1
看起来只是把录音文件那个文件夹做了一个隐藏，那这样的话，也是严重的安全漏洞了

[minami]

已阅，下个版本修复（砍了）

[liaohongxing]

@AlexShui 最新的系统已经修复了，我的是 澎湃 2.0.103.0 , 只有 2 个不知道存在哪里的铃声，界面跟文件管理器无相关

[d8E913DJZ9qpzWB4]

录音文件访问不了别的文件可以

[kenanremix]

按照操作步骤，确实可以看到我本地的全部音乐。K60
澎湃 2.0.3.0

[moefishtang]

已阅，禁用锁屏相机

[shangsharon]

我红米的手机昨天锁屏后自动亮屏并开始录像呢,好像是按键有问题,自动按了电源键+长按音量键

[d8E913DJZ9qpzWB4]

@AlexShui 是的

[chairuosen]

有没有大佬说说，锁屏禁止资源访问这种事情，在系统里只是基于 UI 入口的屏蔽么？没有底层对于锁屏的判断？

[somebody1]

@liaohongxing #11

小米 14 ，澎湃 2.0.104.0 刚升级的，一样能看到下载的音乐，录音看不到，bug 看来还在呀

[langhuishan]

我靠，完美复现，我的瑟瑟 amsr 都出来了，这要是被人捡走，不得社死？

[gyfx]

@chairuosen 基于 ui 。刚开机时数据是未解密的状态，数据无法被访问。解锁后主动锁屏数据也是解密状态，所有程序都可以访问，只能 ui 拦截

[chairuosen]

卧槽，港股小米暴跌难不成跟这有关

[StarForWorld]

用 14U 测试了下，只能看到音乐，看不到录音文件

[pinerge]

只能读取不能写入，问题不大

[murmur]

@chairuosen 这也叫暴跌，小米去年 10 月份股价才 20 多，现在都 50 多了，要看也是看明后天数据，今天有车发布

[Muniesa]

MIUI13 复现，包括 Music 文件夹和 Download 文件夹的音乐文件

[Huelse]

锁屏的功能入口是最难做的，以前还有因为继承问题能直接越过锁屏页访问

[frankies]

已反馈，下个版本应该能修复

[MFWT]

MIUI 14 复现，找不到『微电影』的朋友可以试试『短视频』

[fpcxsun]

这是特性，不是 bug （ doge

[pkoukk]

澎湃 OS 2.0.105.0 没有 微电影 也没有 短视频

[th00000]

小米 15 pro ，澎湃 OS2 ，没有微电影

[JensenQian]

我的古董机还在 miui 没微电影功能

[jim9606]

@chairuosen 靠 app 自己判断是否解锁就是不安全的实现，锁屏可用的应用就应该用跟解锁不一样的用户和上下文，数据完全隔离或者解锁状态通过特定 api 单向搬运数据，而且即使是特权 app 也不例外。

https://developer.android.google.cn/privacy-and-security/direct-boot

windows 的输入法也有同样问题，居然用特权账号运行输入法，骂了这么多年硬是不改

[xyfan]

让我想起了智能 ABC 时代的绕过网吧计费系统漏洞

[cooltechbs]

建议配合雷军成为首富的新闻食用

[ghjh]

啊，这种东西如果我自己点出来的话，可能都不会认为是 bug……

[mogging]

@chairuosen 翻倍了，不减仓还准备加点呢

[shellname]

BUG 米的日常

[catazshadow]

小米正常水平

[snoopygao]

经典 windows2000 输入法漏洞