Libpng 库漏洞被 Google Play 商店拒绝 [CVE-2015-8540]答案

【问题标题】：Libpng library Vulnerability rejected by Google Play Store [CVE-2015-8540]Libpng 库漏洞被 Google Play 商店拒绝 [CVE-2015-8540]
【发布时间】：2017-02-20 07:41:49
【问题描述】：

Google Play 开发者您好，

我们拒绝了 XXXX，包名为 com.XXX.XXX，因为它违反了我们的恶意行为或用户数据政策。如果您提交了更新，您的应用的旧版本仍可在 Google Play 上找到。

此应用使用包含安全漏洞的软件用户或允许在未经适当披露的情况下收集用户数据。

以下是问题列表和相应的 APK 版本在您最近提交的文件中检测到。请将您的应用升级为尽快增加升级后 APK 的版本号。漏洞 APK 版本 Libpng 库

漏洞已在 libpng v1.0.66、v.1.2.56、v.1.4.19、 v1.5.26 或更高版本。您可以找到有关如何解决问题的更多信息这篇 Google 帮助中心文章中的问题。 39

要确认您已正确升级，请提交更新版本的您的应用程序到开发者控制台，并在五小时后回来查看确保警告消失。

虽然这些漏洞可能不会影响使用此漏洞的所有应用软件，最好及时更新所有安全补丁。制作确保更新您的应用程序中任何已知安全性的库问题，即使您不确定这些问题是否与您的应用相关。

应用还必须遵守开发者分发协议和开发者计划政策。

如果您认为我们做出此决定有误，请与我们联系致我们的政策支持团队。

最好的，

Google Play 团队

问题是我没有包含这个Libpng，而且我不知道我使用的哪个lib有它。我检查了依赖关系树，没有看到任何关闭的东西！我怎样才能找到这个文件？我已将我的整个项目从 SDK 23 更改为 24，将 Java 1.7 更改为 1.8，并将所有与照片相关的库更新到最新版本....仍然被拒绝。**

Google Libpng Vulnerability

Dependencies Tree of release
+--- LOCAL: locSDK_6.22.jar
+--- LOCAL: baidumapapi_v3_2_0.jar
+--- LOCAL: easemobchat_2.3.2.jar
+--- LOCAL: libammsdk.jar
+--- LOCAL: fastjson-1.2.7.jar
+--- LOCAL: afinal_0.5.1_bin.jar
+--- LOCAL: jsoup-1.9.2.jar
+--- LOCAL: pinyin4j-2.5.0.jar
+--- LOCAL: umeng-analytics-v5.6.4.jar
+--- com.android.support:support-v4:24.1.1
|    \--- LOCAL: internal_impl-24.1.1.jar
+--- com.android.support:recyclerview-v7:23.2.0
|    \--- com.android.support:support-v4:24.1.1
|         \--- LOCAL: internal_impl-24.1.1.jar
+--- com.facebook.android:facebook-android-sdk:4.16.0
|    +--- com.android.support:support-v4:24.1.1
|    |    \--- LOCAL: internal_impl-24.1.1.jar
|    +--- com.android.support:appcompat-v7:23.4.0
|    |    +--- com.android.support:animated-vector-drawable:23.4.0
|    |    |    \--- com.android.support:support-vector-drawable:23.4.0
|    |    |         \--- com.android.support:support-v4:24.1.1
|    |    |              \--- LOCAL: internal_impl-24.1.1.jar
|    |    +--- com.android.support:support-v4:24.1.1
|    |    |    \--- LOCAL: internal_impl-24.1.1.jar
|    |    \--- com.android.support:support-vector-drawable:23.4.0
|    |         \--- com.android.support:support-v4:24.1.1
|    |              \--- LOCAL: internal_impl-24.1.1.jar
|    +--- com.android.support:cardview-v7:23.4.0
|    \--- com.android.support:customtabs:23.4.0
|         \--- com.android.support:support-v4:24.1.1
|              \--- LOCAL: internal_impl-24.1.1.jar
+--- cn.pedant.sweetalert:library:1.3
|    \--- com.pnikosis:materialish-progress:1.0
|         \--- com.android.support:appcompat-v7:23.4.0
|              +--- com.android.support:animated-vector-drawable:23.4.0
|              |    \--- com.android.support:support-vector-drawable:23.4.0
|              |         \--- com.android.support:support-v4:24.1.1
|              |              \--- LOCAL: internal_impl-24.1.1.jar
|              +--- com.android.support:support-v4:24.1.1
|              |    \--- LOCAL: internal_impl-24.1.1.jar
|              \--- com.android.support:support-vector-drawable:23.4.0
|                   \--- com.android.support:support-v4:24.1.1
|                        \--- LOCAL: internal_impl-24.1.1.jar
+--- com.github.chrisbanes:PhotoView:1.3.0
|    \--- com.android.support:support-v4:24.1.1
|         \--- LOCAL: internal_impl-24.1.1.jar
+--- me.leolin:ShortcutBadger:1.1.4
+--- com.daimajia.swipelayout:library:1.2.0
+--- com.github.castorflex.smoothprogressbar:library:1.1.0
+--- com.github.castorflex.smoothprogressbar:library-circular:1.1.0
+--- com.bigkoo:pickerview:2.0.8
+--- com.github.afollestad.material-dialogs:commons:0.8.5.2
|    +--- com.github.afollestad.material-dialogs:core:0.8.5.2
|    |    +--- com.android.support:support-v4:24.1.1
|    |    |    \--- LOCAL: internal_impl-24.1.1.jar
|    |    +--- me.zhanghai.android.materialprogressbar:library:1.1.4
|    |    |    \--- com.android.support:appcompat-v7:23.4.0
|    |    |         +--- com.android.support:animated-vector-drawable:23.4.0
|    |    |         |    \--- com.android.support:support-vector-drawable:23.4.0
|    |    |         |         \--- com.android.support:support-v4:24.1.1
|    |    |         |              \--- LOCAL: internal_impl-24.1.1.jar
|    |    |         +--- com.android.support:support-v4:24.1.1
|    |    |         |    \--- LOCAL: internal_impl-24.1.1.jar
|    |    |         \--- com.android.support:support-vector-drawable:23.4.0
|    |    |              \--- com.android.support:support-v4:24.1.1
|    |    |                   \--- LOCAL: internal_impl-24.1.1.jar
|    |    +--- com.android.support:appcompat-v7:23.4.0
|    |    |    +--- com.android.support:animated-vector-drawable:23.4.0
|    |    |    |    \--- com.android.support:support-vector-drawable:23.4.0
|    |    |    |         \--- com.android.support:support-v4:24.1.1
|    |    |    |              \--- LOCAL: internal_impl-24.1.1.jar
|    |    |    +--- com.android.support:support-v4:24.1.1
|    |    |    |    \--- LOCAL: internal_impl-24.1.1.jar
|    |    |    \--- com.android.support:support-vector-drawable:23.4.0
|    |    |         \--- com.android.support:support-v4:24.1.1
|    |    |              \--- LOCAL: internal_impl-24.1.1.jar
|    |    \--- com.android.support:recyclerview-v7:23.2.0
|    |         \--- com.android.support:support-v4:24.1.1
|    |              \--- LOCAL: internal_impl-24.1.1.jar
|    \--- com.android.support:appcompat-v7:23.4.0
|         +--- com.android.support:animated-vector-drawable:23.4.0
|         |    \--- com.android.support:support-vector-drawable:23.4.0
|         |         \--- com.android.support:support-v4:24.1.1
|         |              \--- LOCAL: internal_impl-24.1.1.jar
|         +--- com.android.support:support-v4:24.1.1
|         |    \--- LOCAL: internal_impl-24.1.1.jar
|         \--- com.android.support:support-vector-drawable:23.4.0
|              \--- com.android.support:support-v4:24.1.1
|                   \--- LOCAL: internal_impl-24.1.1.jar
\--- :photogallery-release:

releaseUnitTest
No dependencies

BUILD SUCCESSFUL

Total time: 0.556 secs

【问题讨论】：

"我检查了依赖树，没有看到任何关闭的东西！" - 那么也许您应该考虑编辑您的问题并发布依赖关系树，以防其他人可能识别出库的来源。 “我怎样才能找到这个文件？” -- 扫描您的项目以查找以libpng 开头的文件。例如，在 Linux 上，使用项目根目录中的find . -name libpng*。
假设其中一个依赖项将 libpng 文件添加到您的 apk，您应该能够通过对用户主页中本地 maven 存储库缓存中的所有文件执行全文搜索来识别依赖项：@987654325 @.

标签： android security libpng

【解决方案1】：

您可以使用 gradle 在命令行上构建您的项目并激活调试日志记录：

gradlew -d assembleRelease > logfile.txt

然后过滤日志文件以获取库名称，您应该能够识别源文件名和将其添加到项目中的库。

【讨论】：