2023年9月，Citizen Lab披露了一种名为“BLASTPASS”的零日攻击机制，其利用图片解析漏洞——即后来被广泛关注的WebP漏洞，对iOS和Android设备发起攻击。攻击者通过精心构造的图片导致解析器内存溢出，从而实现入侵。
WebP漏洞的出现不仅敲响了安全警钟，更揭示了跨平台开发框架（如Flutter）在漏洞影响中的关键角色。作为一款广受欢迎的开源UI工具包，Flutter为开发者提供了多平台一致性的高效开发体验，但也让漏洞的波及范围大幅扩大。
iOS应用的修复趋势：数据背后的故事
在Citizen Lab报告发布后一周内，Flutter发布了针对此漏洞的补丁。然而，修复的速度却因开发者的响应能力而存在显著差异。
第一阶段：2023年最后一季度
我们随机抽样了8000款iOS应用，其中约10%为Flutter开发。然而令人遗憾的是，到2023年底，这些Flutter应用中100%依然存在WebP漏洞。这意味着，许多用户设备仍在暴露于风险之中。
第二阶段：2024年第一季度
半年后，我们再次抽样了8000款iOS应用，发现Flutter应用的比例下降了5%，但其中90%的应用仍然未修复漏洞。尽管修复工作有所进展，但如此缓慢的速度依然令人担忧。
企业应用的三重挑战
移动设备的普及使得漏洞问题愈加复杂化，尤其是对于依赖移动应用的企业而言：
1.自研应用的漏洞修复：企业开发者需及时跟进漏洞信息，并快速应用补丁。
2.员工设备的第三方应用风险：企业需评估员工设备上安装的第三方应用，以降低企业数据泄露的可能性。
3.商用应用的安全审查：在分发前，需确保外购应用不存在关键漏洞。
应对策略：多层防护必不可少
尽管补丁可以发布，但覆盖到所有用户却非易事。许多情况下，补丁的应用进度取决于开发者和用户的主动性，而这恰恰是漏洞长期存在的根本原因。
为了有效应对这些安全威胁，企业需要采取以下措施：
部署应用安全检测：在应用上线前，通过专业工具对其进行漏洞扫描与风险评估。
强化应用加固技术：为应用增加抗攻击的能力，从根本上提高安全性。
定期进行安全审查：持续监测和更新已发布应用，确保其安全状态。
在移动安全领域，“漏洞可能不可避免，但响应速度却可以决定风险的大小”。未雨绸缪，为企业的移动应用建立完善的防护体系，是应对未来安全威胁的关键所在。
