Ismert androidos appok hasalnak el ezen a hibán

Népszerű androidos alkalmazások válhatnak támadások áldozataivá egy újabb módszer miatt. Most elsősorban a fejlesztőknek kellene lépniük.
 

Az Android világában is folyamatosan jelennek meg az újabb és újabb támadási felületek. Ezek egy része a kiberbűnözőktől származik, míg másokat biztonsági kutatók hoznak felszínre annak érdekében, hogy az operációs rendszer vagy az alkalmazások fejlesztői minél gyorsabban tudjanak reagálni a problémákra. Ezúttal a Check Point szakértői számoltak be egy olyan fenyegetettségről, amely jól ismert alkalmazásokkal történő visszaélésekhez is felhasználhatóvá válhat.
 
A biztonsági cég szerint a támadási módszer alapjául az szolgál, hogy egyes appok nem kezelik megfelelően a külső adathordozókon tárolt fájlokat. Márpedig gyakori, hogy az alkalmazások előnyben részesítik például a készülékekbe behelyezett SD-kártyákat, mivel így nem emésztik fel a telefon, táblagép korlátozottabb kapacitású belső memóriáját. Csakhogy, ha ezt nem olyan módon teszik, ahogy az a "nagykönyvben" meg van írva, akkor abból bonyodalmak adódhatnak.
 
Közbeékelődéses támadás
 
A Check Point kutatói kifejlesztettek egy olyan alkalmazást, amely látszólag elemlámpaként funkcionál. A valóságban azonban a háttérben appok manipulálására alkalmas. Mindössze annyit kér a felhasználótól a telepítéskor, hogy adjon engedélyt a külső (SD) adattároló eléréséhez. Ezt követően kétféle módon tud problémát előidézni úgynevezett Man-in-the-Disk (MitD) támadással. Egyrészt manipulálhat más - akár jóval több engedéllyel rendelkező alkalmazásokhoz tartozó fájlokat - amivel a jogosultsági szint emelés sem kizárható. Másrészt pedig módosíthatja azon alkalmazások telepítő/frissítő állományait, amelyek a verzióváltáskor a külső adattárolót is igénybe veszik. Ilyenkor egy frissítéssel nemkívánatos összetevők telepítésére is sor kerülhet.
 
A Check Point szerint az ilyen jellegű MitD támadások alapvetően az alkalmazások összeomlását idézhetik elő, vagy más ártalmas tevékenységek végrehajtásához járulhatnak hozzá. További probléma, hogy olyan neves alkalmazások is sérülékenyek e tekintetben, mint például a Google Translate, a Google Voice Typing, a Xiaomi Browser, a Yandex Translate és a Yandex Search.
 
A biztonsági cég munkatársai az eddig vizsgált és sebezhetőnek minősített szoftverek fejlesztőit már értesítették a felfedezésükről. A Google jelezte is, hogy a Google Translate esetében megtette a szükséges intézkedéseket a kockázatok csökkentése érdekében.

 
A fejlesztőkön múlik
 
A Check Point hangsúlyozta, hogy ezúttal sok múlik a fejlesztőkön. A Google ugyanis már korábban kiadott egy útmutatót a külső adattárolók kezelését illetően, de mit várhatunk, ha még a Google saját alkalmazásai is sérülékenynek bizonyultak. Mindenesetre a legfontosabb óvintézkedések a következők:
  • a bemeneti adatok fokozott ellenőrzése külső adattárolók esetén
  • külső adattárolókon a futtatható fájlok és a class állományok tárolásának mellőzése
  • külső adattárolók esetén digitális aláírással vagy egyéb kriptográfiai ellenőrző eszközökkel történő, dinamikus fájlbetöltés biztosítása.
 
  1. 4

    Az Amavis fejlesztői egy biztonsági hibáról számoltak be.

  2. 3

    Az Apple egy biztonsági rést foltozott be az Xcode esetében.

  3. 2

    Az Apple iTunes for Windows szoftverhez egy biztonsági frissítés érkezett.

  4. 4

    A Microsoft Edge webböngésző két sebezhetőség miatt szorul frissítésre.

  5. 4

    A Fortinet egy súlyos sebezhetőségről számolt be.

  6. 3

    Az Adobe egy biztonsági hibát javított a ColdFusionben.

  7. 4

    Az Adobe két sebezhetőségről számolt be a Premiere Pro kapcsán.

  8. 4

    Az Adobe Lightroom egy fontos frissítést kapott.

  9. 3

    Az Adobe 46 biztonsági rést foltozott be az Experience Manageren.

  10. 4

    A Windows ismét jelentős mennyiségű hibajavítást kapott.

Partnerhírek
Amikor a gyerekünk hangján követelnek tőlünk pénzt

Minden szülő legrosszabb rémálma felvenni egy ismeretlen számról érkező hívást, és azt hallani, hogy a gyermeke segítségért kiált.

Romantika helyett átverés Valentin-napon?

Az online társkeresés elterjedésével alapjaiban változott meg az emberek közötti kapcsolatteremtés.

hirdetés
Közösség