如何修复 Supersonic SDK 漏洞

本文面向的是在应用中采用不安全的 Supersonic SDK（一种广告平台）版本的开发者。

低于 6.3.5 的 Supersonic SDK 版本存在漏洞，会让攻击者可以利用 JavaScript 执行多种功能。由于 JavaScript 文件是通过 HTTP 下载的，因此很容易受到中间人攻击。攻击者可能会利用此漏洞删除手机中的文件，并获取信息，例如地理定位、已安装应用方面的信息。此类问题在新版 SDK 中已得到解决。

问题说明

从 2017 年 1 月 26 日起，Google Play 开始禁止发布任何使用低于 6.3.5 的 Supersonic 版本的新应用或应用更新。请参阅 Play 管理中心内的通知。在 Play 管理中心内显示的截止日期过后，系统可能会将所有包含未修复安全漏洞的应用从 Google Play 中移除。

需要采取的行动​

1. 登录您的 Play 管理中心，然后转到“提醒”部分，了解受影响的应用以及解决这些问题的截止日期。
2. 更新受影响的应用，使用最新版 Supersonic SDK。
3. 提交受影响应用的更新版本。

重新提交后，我们会重新审核您的应用。审核过程可能需要几个小时才能完成。如果应用通过审核并成功发布，便无需进一步操作。如果应用未通过审核，则新版应用将无法发布，您会收到电子邮件通知。

请注意，应用还必须遵守开发者分发协议和内容政策。

我们随时为您提供帮助

如果您针对此漏洞有技术方面的问题，可以在 Stack Overflow 上发帖咨询（使用“android-security”标签）。有关您需要采取哪些步骤来解决此问题的说明，请与我们的开发者支持团队联系。