Sú absolútne nechránené: Appky pre Android s miliónmi stiahnutí predstavujú vážne riziko
Populárne aplikácie v Obchode Play ostali nechránené, sú vystavené nebezpečnému útoku. Problém sa spája s množstvom obľúbených titulov, ktoré majú milióny stiahnutí. Útočníci môžu pomocou tejto zraniteľnosti získať citlivé údaje, kontakty, prihlasovacie údaje, či dokonca správy používateľov. O probléme informovala bezpečnostná firma Check Point.
Rozsah tohto problému je naozaj veľký. Chyba sa ukrýva v staršej verzii Play Core. Ide o Java knižnicu od Googlu, ktorú vývojári zahŕňajú vo svojich aplikáciách pre interakciu s oficiálnym Obchodom Play.
Pomocou tohto modulu môžu aplikácie stiahnuté z obchodu získavať potrebné aktualizácie, doplnkové balíky a taktiež sťahovať ďalšie aplikácie. Ešte nedávno na podobný problém s Play Core upozornila spoločnosť Oversecured.
Tá odhalila, že prostredníctvom chyby v tomto module môžu nebezpečné aplikácie infikovať zariadenia škodlivým kódom a následne odcudziť citlivé údaje, vrátane hesiel, fotografií a ďalších dát.
Obchod Play stále obsahuje zraniteľné aplikácie
Najnovšie na podobný problém upozornil pred pár dňami Check Point. Google síce chybu v Play Core zaplátal ešte na jar tohto roka, keď vydal novú verziu 1.7.2, avšak mnohí vývojári ju vo svojich aplikáciách nevyužili.
Kvôli tomu tak ostávajú ich aplikácie ďalej nechránené a zraniteľné voči nebezpečným útokom. Podľa bezpečnostnej firmy využívalo Play Core celkovo 13 % všetkých aplikácií v Obchode Play, no z toho len 5 % malo aktualizovanú verziu knižnice s bezpečnostnou záplatou. Ostatné aplikácie ostali nechránené.
Názov súboru | Názov | Verzia | Počet stiahnutí |
com.aloha.browser | Aloha | 2.23.0 | 1,000,000 |
com.walla.wallasports | Walla! Sports | 1.8.3.1 | 100,000 |
videoeditor.videorecorder.screenrecorder | XRecorder | 1.4.0.3 | 100,000,000 |
com.tranzmate | Moovit | 5.56.0.459 | 50,000,000 |
com.walla.wallahamal | Hamal | 2.2.2.1 | 1,000,000 |
com.indiamart.m | IndiaMART | 12.7.4 | 10,000,000 |
com.microsoft.emmx | Edge | 45.09.4.5083 | 10,000,000 |
com.grindrapp.android | Grindr | 6.32.0 | 10,000,000 |
ru.yandex.taximeter | Yango Pro (Taximeter) | 9.56 | 5,000,000 |
com.cyberlink.powerdirector | PowerDirector | 7.5.0 | 50,000,000 |
com.okcupid.okcupid | OkCupid | 47.0.0 | 10,000,000 |
com.cisco.wx2.android | Teams | 40.10.1.274 | 1,000,000 |
Medzi aplikácie s aktualizovanou verziou Play Core 1.7.2 patria napríklad najpopulárnejšie sociálne siete ako Facebook, Instagram, Snapchat, WhatsApp alebo prehliadač Chrome. Na druhej strane ostalo mnoho takých, ktoré stále fungujú na starej verzii knižnice. Sem patrí taký prehliadač Edge od Microsoftu, zoznamka OkCupid alebo aplikácia Teams a mnoho ďalších.
Bezpečnostní výskumníci z Check Point už pred mesiacmi upozornili vývojárov na túto chybu, no doteraz Play Core updatovali okrem spomenutých iba Viber a Booking.com. Aplikácie so starou verziou Java knižnice Googlu sú zraniteľné voči útokom cez CVE-2020-8913.
Ako môžu útočníci chybu zneužiť?
V skratke sa v sandboxe aplikácií nachádzajú dva priečinky, jeden pre overené súbory z Obchodu Play, druhý pre neoverené súbory z iných zdrojov. Jednotlivé súbory potom podľa zdroja putujú do jedného z týchto dvoch priečinkov. Ak je súbor zaradený medzi overené, môže interagovať s knižnicou Obchodu Play.
Ďalšia funkcia pritom umožňuje zdrojom pretlačiť súbory do sandboxu hostiteľskej aplikácie. Je tu však limit, kvôli ktorému je súbor zaradený do priečinka pre neoverené súbory a nemá automaticky prístup ku knižnici obchodu.
Útočníci však môžu príkazom zapísať súbor do priečinka s overenými aplikáciami. Stačí, aby použili cestu „../verified_splits/my_evil_payload.apk“, potom bude súbor v zraniteľnej aplikácii a môže pristupovať ku knižnici. Tento problém Google opravil v Play Core ešte 6. apríla. Check Point zverejnil demo tohto problému na videu a ďalšie technické detaily popísal aj na svojom blogu.
Niektorí vývojári vyslyšali varovanie, mnohí ho naďalej ignorujú
V prípade zraniteľných aplikácií, ktoré bezpečnostný update od spoločnosti nevyužívajú, môžu útočníci vložiť nebezpečný kód napríklad aj do bankovej aplikácie, SMS aplikácie či iných a získať tak prístup k finančným údajom, textovým správam, ale aj kódom z dvojfaktorového overovania, či dátam o polohe zariadenia.
Pokiaľ teda doteraz vývojári svoje aplikácie neaktualizovali na najnovšiu verziu Play Core, ostávajú voči takémuto útoku zraniteľné. Medzičasom už boli aktualizované aj aplikácie od Both Grindr & Moovit a Cisca. Naďalej sa však v Obchode Play nachádza množstvo aplikácií, ktoré knižnicu neaktualizovali a predstavujú bezpečnostnú hrozbu.
Čítajte viac z kategórie: Aplikácie
Ďakujeme, že čítaš Fontech. V prípade, že máš postreh alebo si našiel v článku chybu, napíš nám na redakcia@fontech.sk.
Teraz čítajú
Aj ty môžeš byť hacker. Toto je TOP 10 nástrojov, s ktorými sa nabúraš (takmer) hocikam
13-ročný „heker" vyškolil Microsoft. Našiel desiatky kritických chýb v obľúbenej aplikácii, toto bola reakcia
AKTUÁLNE: Veľká zmena v USA. Ak im nedáš sociálne siete, nepustia ťa do krajiny
Plaťte, šetrite, investujte, kdekoľvek ste – pohodlne a moderne. Prestúpte s VÚB do inej ligy mobilného bankovníctva
Slováci rozbehli digitálnu revolúciu v panelákoch. Investori vložili do ich geniálnej apky pol milióna
NAJČÍTANEJŠIE ZO STARTITUP
Za „maličkosť“ hrozí slovenským šoférom pokuta až 100 eur. Tisíce vodičov túto chybu robia každý deň
Generácia Z robí firmám vrásky: „YouTube, Instagram a TikTok sú dnešné učebnice,“ tvrdí expertka
Na Slovensko sa rútia silné búrky. Experti sa zhodli, priprav sa na silný vietor a lejak (PREDPOVEĎ)
Slováci si tu budú žiť ako králi. 10 krajín Európy s najnižšími nákladmi na život (REBRÍČEK)
Črevné baktérie pohlcujú toxické chemikálie z tvojho tela. Prelomový výskum vedie k novej ochrane zdravia
- 24 hod
- 48 hod
- 7 dní
-
- Nemci sa zbláznili do energetického grálu. Elektrinu im vyrába zadarmo, sieti dodali 60 miliónov MWh
- Rusi ani netušili, čo im zlikvidovalo najdrahší systém. Ukrajina použila zbraň, akú svet ešte nevidel
- Stalo sa jej to najhoršie. Žena si kúpila lacný elektromobil, po roku ním nedôjde ani do práce
- Do Ameriky doletí za 90 minút. Prelomové lietadlo v prvých testoch všetkých prekvapilo
- Rusom padla sánka. Jedna z najlepších stíhačiek USA dostane vlastnú „armádu dronov”
-
- Rusom padla sánka. Jedna z najlepších stíhačiek USA dostane vlastnú „armádu dronov”
- Nemci sa zbláznili do energetického grálu. Elektrinu im vyrába zadarmo, sieti dodali 60 miliónov MWh
- Veľký operátor bije na poplach: Ak dostaneš takúto správu, rovno ju vymaž. Môžeš prísť o peniaze
- Bol na mizine, dnes jeho spotrebiče zarábajú miliardy. Toto je príbeh génia, ktorý založil slávnu značku
- Rusi ani netušili, čo im zlikvidovalo najdrahší systém. Ukrajina použila zbraň, akú svet ešte nevidel
-
- Európa do neho investovala miliardy eur, teraz ho ľudia nechcú. Predaj energetického zariadenia prudko klesol
- Vedci našli skrytý trik, ako obnoviť zrak. Takéto niečo by ti nikdy nenapadlo
- Celý život triedila plasty. Žena neverila vlastným očiam, keď pomocou AirTagu zistila, kde končia
- Lacný ako Fabia, výkonný ako Porsche. Známa značka spustila predaj auta s dojazdom 2 000 km
- Rusom padla sánka. Jedna z najlepších stíhačiek USA dostane vlastnú „armádu dronov”
Budeme tankovať lacnejší benzín? OPEC+ spustil ropnú lavínu, ktorá ovplyvní aj Slovákov
Slováci sa dočkali. ZSSK chce konečne vyriešiť jeden z najväčších problémov cestujúcich
Slovenská vláda chce AI pod kontrolou. Vymenovala vlastného splnomocnenca
Po veľkom výpadku sa Praha opäť rozsvietila. Chaos však zanechal následky
ZSSK čelí kritike: Tisíce študentov prichádzajú o nárok na bezplatnú dopravu
NAJČÍTANEJŠIE ZO STARTITUP