卡巴斯基回应发现拼多多app漏洞

卡巴斯基实验室昨天扔出一枚炸弹：拼多多官方应用里藏有可被远程利用的卡巴漏洞，能追踪用户、斯基读取剪贴板，发现甚至静默安装额外模块。拼多这消息一出，漏洞舆论瞬间分成两派——一派骂拼多多“偷窥成性”，卡巴另一派笑卡巴“老毛子不懂中国电商”。斯基吵归吵，发现技术细节其实比口水战更有意思。拼多

漏洞出在拼多多自研的漏洞组件上，不是卡巴常见的第三方SDK。卡巴斯基的斯基分析师给漏洞起了个代号叫“Pinduoduo.Android.OS.Exploit”，明说它能加载远程代码，发现把设备变成“特洛伊木马”。拼多我翻了下技术报告，漏洞攻击链设计得相当精巧：先利用系统广播机制触发漏洞，再借应用自升级通道下发恶意载荷。整个过程不需要用户点任何链接，后台就能完成。

拼多多方面反应很快，当天就发声明否认，说卡巴斯基“夸大其词”，还暗示这是“国际安全厂商的误解”。可卡巴斯基随后放出更多证据——包括漏洞触发的日志截图和测试视频。视频里，研究人员在完全无root的安卓13设备上复现了漏洞，成功读取了用户剪贴板里复制的支付宝链接。这画面比任何声明都有说服力。

更微妙的是时间点。拼多多刚在美国上线Temu，正卯足劲拓展海外市场。卡巴斯基挑这个时候发报告，难免让人联想商业竞争。但安全圈的朋友提醒我，卡巴斯基早在2023年3月就私下通知过拼多多，给了对方半年时间修复。拼多多拖到11月才推出补丁，卡巴斯基忍无可忍才公开披露。这节奏，倒像是被逼无奈。

我试着下载了最新版拼多多，用抓包工具看了下网络请求。虽然漏洞已堵上，但应用依然会定期向服务器发送设备信息，包括IMEI、MAC地址和正在运行的应用列表。有些数据对电商推荐功能确实必要，但剪贴板内容——尤其当用户复制了银行卡号或身份证号时——真的有必要上传吗？拼多多在隐私政策里写“用于识别异常操作”，这话术听着耳熟，几乎每个中国互联网公司都这么解释。

说到底，这事件暴露的是整个行业的问题：为了功能迭代速度，牺牲安全审查深度。拼多多不是第一家，也绝不会是最后一家。卡巴斯基的报告中那句“建议用户卸载直到修复完成”虽然刺耳，但对普通用户来说，卸载一个购物app比换手机容易得多。至于拼多多，与其花时间公关，不如把补丁打得再扎实些——毕竟海外市场对隐私的敏感度，可比国内高多了。