Microsoft odkrywa lukę w zabezpieczeniach, która może stanowić zagrożenie dla miliardów urządzeń z Androidem

Microsoft ujawnił krytyczną lukę w zabezpieczeniach, która potencjalnie wpływa na niezliczone aplikacje na Androida. Luka ta, nazwana „Dirty Stream”, stanowi poważne zagrożenie, które może pozwolić komuś przejąć kontrolę nad aplikacjami i ukraść cenne informacje użytkownika. (h/t: Piszczący komputer)

Sednem luki Dirty Stream jest zdolność złośliwych aplikacji na Androida do manipulowania i nadużywania systemu dostawców treści Androida. System ten jest zwykle zaprojektowany w celu umożliwienia bezpiecznej wymiany danych pomiędzy różnymi aplikacjami na urządzeniu. Obejmuje środki ochrony, takie jak ścisła izolacja danych, korzystanie z uprawnień powiązanych z określonymi identyfikatorami URI (Uniform Resource Identifier) ​​oraz dokładna weryfikacja ścieżek plików w celu zapobiegania nieautoryzowanemu dostępowi.

Jednak nieostrożne wdrożenie tego systemu może otworzyć drzwi do wyzysku. Naukowcy z Microsoftu odkryli, że nieprawidłowe użycie „niestandardowych intencji” – systemu przesyłania wiadomości umożliwiającego komunikację komponentów aplikacji na Androida – może ujawnić wrażliwe obszary aplikacji. Na przykład podatne aplikacje mogą nie być w stanie odpowiednio zweryfikować nazw plików lub ścieżek, co daje złośliwej aplikacji szansę na wstrzyknięcie złośliwego kodu udającego legalne pliki.

Jakie jest zagrożenie?

Wykorzystując lukę w zabezpieczeniach Dirty Stream, osoba atakująca może oszukać podatną na ataki aplikację w celu nadpisania krytycznych plików w jej prywatnej przestrzeni dyskowej. Taki scenariusz ataku może skutkować przejęciem przez osobę atakującą całkowitej kontroli nad zachowaniem aplikacji, uzyskaniem nieautoryzowanego dostępu do wrażliwych danych użytkownika lub przechwyceniem prywatnych danych uwierzytelniających.

Dochodzenie przeprowadzone przez firmę Microsoft wykazało, że ta luka nie jest odosobnionym problemem, ponieważ dochodzenie wykazało, że wadliwe implementacje systemu dostawcy treści są powszechne w wielu popularnych aplikacjach na Androida. Dwa godne uwagi przykłady to aplikacja do zarządzania plikami Xiaomi z ponad miliardem instalacji i WPS Office z około 500 milionami instalacji.

Badacz firmy Microsoft, Dimitrios Valsamaras, zwrócił uwagę na przerażającą liczbę podatnych na ataki urządzeń, stwierdzając: „W sklepie Google Play zidentyfikowaliśmy kilka podatnych aplikacji, co oznacza ponad cztery miliardy instalacji”.

Firma Microsoft aktywnie dzieliła się swoimi odkryciami, ostrzegając programistów o potencjalnie podatnych na ataki aplikacjach i współpracując z nimi w celu zapewnienia poprawek. Obie wymienione firmy od razu potwierdziły zidentyfikowane problemy w swoim oprogramowaniu.

Ponadto firma Google podjęła kroki, aby zapobiec występowaniu podobnych luk w zabezpieczeniach w przyszłości, aktualizując zasady bezpieczeństwa aplikacji, tak aby dodatkowo skupić się na możliwych do wykorzystania, powszechnych błędach projektowych wśród dostawców treści.

Co mogą zrobić użytkownicy Androida?

Podczas gdy programiści usilnie starają się znaleźć i załatać podatne aplikacje, użytkownicy Androida mogą podjąć proste środki ostrożności. Jeśli chodzi o aktualizacje aplikacji, należy zachować czujność, ponieważ programiści prawdopodobnie szybko udostępnią poprawki.

Ponadto zaleca się, aby zawsze pobierać aplikacje z oficjalnego sklepu Google Play i zachować szczególną ostrożność podczas pobierania z nieoficjalnych źródeł, które mogą zawierać złośliwe aplikacje.