android - Google Play Worklight 6.2.0 上的 OpenSSL 警告

Question

我在 Google Play 上发布了一个应用程序，我收到一封电子邮件，说我的应用程序在 Cordova 版本和 OpenSSL 版本上存在问题。我为 WorkLight 6.0.2 下载并应用了我的应用程序修复程序，然后重建并重新部署到 Google Store。 Cordova 警告停止，但 OpenSSL 仍然存在。

我的 WorkLight 版本是:

我对我的 .apk 文件进行了 grep，得到了这样的结果:

解压-p myApp.apk |字符串 | grep“OpenSSL”

和

阅读一些文章我猜问题出在 OpenSSL 1.0.xxx 上，并且看到 grep 结果我有两个 OpenSSL 版本 1.0.1 和 1.1.0。我不知道我的应用程序是否有一些使用旧 OpenSSL 版本的第三方库。我在这个项目中使用 Xtify。也许问题出在这里？

我知道堆栈溢出有另一篇关于这个 OpenSSL 问题的帖子，但在 worklight + xtify 上没有关于这个问题的帖子。

谢谢!

Answer 1

请注意，Worklight v6.0.2 不容易受到 CVE-2016-0701 和 CVE-2015-3197 的攻击。<​​/p>

但是，我们知道 Google 标记了当前嵌入 Worklight v6.0.2 的 OpenSSL 版本。我们正在更新 OpenSSL 库，以确保它不会在 Google Play 审核过程中继续触发误报。

该问题正在通过 iFix 解决。解决它的 APAR 是:PI60605 OPENSSL 收到安全更新并且必须升级到 1.0.2F (105608)。

如果您对我们产品中的安全漏洞有疑问或疑虑，请通过 PMR 报告。

希望对您有所帮助。