Sú absolútne nechránené: Appky pre Android s miliónmi stiahnutí predstavujú vážne riziko
Populárne aplikácie v Obchode Play ostali nechránené, sú vystavené nebezpečnému útoku. Problém sa spája s množstvom obľúbených titulov, ktoré majú milióny stiahnutí. Útočníci môžu pomocou tejto zraniteľnosti získať citlivé údaje, kontakty, prihlasovacie údaje, či dokonca správy používateľov. O probléme informovala bezpečnostná firma Check Point.
Rozsah tohto problému je naozaj veľký. Chyba sa ukrýva v staršej verzii Play Core. Ide o Java knižnicu od Googlu, ktorú vývojári zahŕňajú vo svojich aplikáciách pre interakciu s oficiálnym Obchodom Play.
Pomocou tohto modulu môžu aplikácie stiahnuté z obchodu získavať potrebné aktualizácie, doplnkové balíky a taktiež sťahovať ďalšie aplikácie. Ešte nedávno na podobný problém s Play Core upozornila spoločnosť Oversecured.
Tá odhalila, že prostredníctvom chyby v tomto module môžu nebezpečné aplikácie infikovať zariadenia škodlivým kódom a následne odcudziť citlivé údaje, vrátane hesiel, fotografií a ďalších dát.
Obchod Play stále obsahuje zraniteľné aplikácie
Najnovšie na podobný problém upozornil pred pár dňami Check Point. Google síce chybu v Play Core zaplátal ešte na jar tohto roka, keď vydal novú verziu 1.7.2, avšak mnohí vývojári ju vo svojich aplikáciách nevyužili.
Kvôli tomu tak ostávajú ich aplikácie ďalej nechránené a zraniteľné voči nebezpečným útokom. Podľa bezpečnostnej firmy využívalo Play Core celkovo 13 % všetkých aplikácií v Obchode Play, no z toho len 5 % malo aktualizovanú verziu knižnice s bezpečnostnou záplatou. Ostatné aplikácie ostali nechránené.
Názov súboru | Názov | Verzia | Počet stiahnutí |
com.aloha.browser | Aloha | 2.23.0 | 1,000,000 |
com.walla.wallasports | Walla! Sports | 1.8.3.1 | 100,000 |
videoeditor.videorecorder.screenrecorder | XRecorder | 1.4.0.3 | 100,000,000 |
com.tranzmate | Moovit | 5.56.0.459 | 50,000,000 |
com.walla.wallahamal | Hamal | 2.2.2.1 | 1,000,000 |
com.indiamart.m | IndiaMART | 12.7.4 | 10,000,000 |
com.microsoft.emmx | Edge | 45.09.4.5083 | 10,000,000 |
com.grindrapp.android | Grindr | 6.32.0 | 10,000,000 |
ru.yandex.taximeter | Yango Pro (Taximeter) | 9.56 | 5,000,000 |
com.cyberlink.powerdirector | PowerDirector | 7.5.0 | 50,000,000 |
com.okcupid.okcupid | OkCupid | 47.0.0 | 10,000,000 |
com.cisco.wx2.android | Teams | 40.10.1.274 | 1,000,000 |
Medzi aplikácie s aktualizovanou verziou Play Core 1.7.2 patria napríklad najpopulárnejšie sociálne siete ako Facebook, Instagram, Snapchat, WhatsApp alebo prehliadač Chrome. Na druhej strane ostalo mnoho takých, ktoré stále fungujú na starej verzii knižnice. Sem patrí taký prehliadač Edge od Microsoftu, zoznamka OkCupid alebo aplikácia Teams a mnoho ďalších.
Bezpečnostní výskumníci z Check Point už pred mesiacmi upozornili vývojárov na túto chybu, no doteraz Play Core updatovali okrem spomenutých iba Viber a Booking.com. Aplikácie so starou verziou Java knižnice Googlu sú zraniteľné voči útokom cez CVE-2020-8913.
Ako môžu útočníci chybu zneužiť?
V skratke sa v sandboxe aplikácií nachádzajú dva priečinky, jeden pre overené súbory z Obchodu Play, druhý pre neoverené súbory z iných zdrojov. Jednotlivé súbory potom podľa zdroja putujú do jedného z týchto dvoch priečinkov. Ak je súbor zaradený medzi overené, môže interagovať s knižnicou Obchodu Play.
Ďalšia funkcia pritom umožňuje zdrojom pretlačiť súbory do sandboxu hostiteľskej aplikácie. Je tu však limit, kvôli ktorému je súbor zaradený do priečinka pre neoverené súbory a nemá automaticky prístup ku knižnici obchodu.
Útočníci však môžu príkazom zapísať súbor do priečinka s overenými aplikáciami. Stačí, aby použili cestu „../verified_splits/my_evil_payload.apk“, potom bude súbor v zraniteľnej aplikácii a môže pristupovať ku knižnici. Tento problém Google opravil v Play Core ešte 6. apríla. Check Point zverejnil demo tohto problému na videu a ďalšie technické detaily popísal aj na svojom blogu.
Niektorí vývojári vyslyšali varovanie, mnohí ho naďalej ignorujú
V prípade zraniteľných aplikácií, ktoré bezpečnostný update od spoločnosti nevyužívajú, môžu útočníci vložiť nebezpečný kód napríklad aj do bankovej aplikácie, SMS aplikácie či iných a získať tak prístup k finančným údajom, textovým správam, ale aj kódom z dvojfaktorového overovania, či dátam o polohe zariadenia.
Pokiaľ teda doteraz vývojári svoje aplikácie neaktualizovali na najnovšiu verziu Play Core, ostávajú voči takémuto útoku zraniteľné. Medzičasom už boli aktualizované aj aplikácie od Both Grindr & Moovit a Cisca. Naďalej sa však v Obchode Play nachádza množstvo aplikácií, ktoré knižnicu neaktualizovali a predstavujú bezpečnostnú hrozbu.
Čítajte viac z kategórie: Aplikácie
Ďakujeme, že čítaš Fontech. V prípade, že máš postreh alebo si našiel v článku chybu, napíš nám na redakcia@fontech.sk.
Teraz čítajú
Dôležitá zmena pre používateľov Gmailu. Tradičným spôsobom sa už čoskoro neprihlásiš
7 najväčších chýb, ktorými si denne ničíš smartfón (a ani o tom nevieš)
TOP 8 aplikácií na správu času, ktoré ti zmenia život. Bez čísla 7 by som nevedel fungovať
Nevyhadzuj stovky eur za nový mobil. Takto svoj smartfón zrýchliš aj o 100 % v 4 krokoch
Európska únia udelila Google miliardovú pokutu. Trump sa nám okamžite začal vyhrážať
NAJČÍTANEJŠIE ZO STARTITUP
Žltačka na Ministerstve dopravy SR. Rezort prijal okamžité opatrenia
Väčšina obchodov bude na Sedembolestnú pannu Máriu zatvorená. Kde si môžeme nakúpiť?
Rusko „zmrazilo“ mierové rokovanie s Ukrajinou. Kremeľ pokračuje v ofenzíve
Rusko a Bielorusko odštartovali cvičenia pri hraniciach NATO. Poľsko reaguje uzatvorením priechodov
Ignorovať AI sa už neoplatí: 3 spôsoby, ako ti umelá inteligencia šetrí čas aj peniaze
- 24 hod
- 48 hod
- 7 dní
-
- Netflix ukázal novú akčnú bombu. Vychádza zo skutočnosti a práve dostala prvý trailer
- Veľmoc našla ložisko 18 miliónov ton vzácnej suroviny. Vyrobia z nej milióny elektromobilov
- Padnutý strom v Amazónii nechal vedcov v nemom úžase. Odhalil tajomstvo ukryté stáročia
- Tisíce ton zlata, medi a striebra. Na hranici dvoch štátov našli najväčší poklad za posledných 30 rokov
- Concorde dostáva vážneho rivala. Čína ukázala tichý nadzvukový stroj s doletom až 11 000 km
-
- Padnutý strom v Amazónii nechal vedcov v nemom úžase. Odhalil tajomstvo ukryté stáročia
- Tisíce ton zlata, medi a striebra. Na hranici dvoch štátov našli najväčší poklad za posledných 30 rokov
- Zem je vo vnútri úplne iná ako sme si mysleli. Stojíme na gigantickom „oceáne”
- Dôležitá zmena pre používateľov Gmailu. Tradičným spôsobom sa už čoskoro neprihlásiš
- Slováci si našli nového miláčika. Tento mobil nestojí 1000 eur a poráža vlajkové lode Apple a Samsungu
-
- Vedcom padla sánka. 4 757 metrov pod ľadom Antarktídy objavili stratený svet
- Padnutý strom v Amazónii nechal vedcov v nemom úžase. Odhalil tajomstvo ukryté stáročia
- Tisíce ton zlata, medi a striebra. Na hranici dvoch štátov našli najväčší poklad za posledných 30 rokov
- Vedci našli artefakt starý 80 000 rokov. Odhalil, že o minulosti ľudstva sme sa totálne mýlili
- Japonci zaskočili konkurenciu. Nissan predstavil motor, aký svet ešte nevidel
Umelá inteligencia dostane prísnejšie pravidlá. Brusel chce Kódex praxe do roku 2026
Rusko zradil verný európsky spojenec. Poza jeho chrbát dodáva muníciu Ukrajine
Blanárove slová o dronoch vzbudili reakciu. Ukrajina odmieta spochybňovanie faktov
Rusko bojuje s krízou. Dôležitá komodita je ohrozená a láme rekordy cien, urobili zúfalý krok
iPhony a Androidy si konečne rozumejú. Veľký operátor spustil Slovákom roky vytúženú funkciu
NAJČÍTANEJŠIE ZO STARTITUP