Sú absolútne nechránené: Appky pre Android s miliónmi stiahnutí predstavujú vážne riziko
Populárne aplikácie v Obchode Play ostali nechránené, sú vystavené nebezpečnému útoku. Problém sa spája s množstvom obľúbených titulov, ktoré majú milióny stiahnutí. Útočníci môžu pomocou tejto zraniteľnosti získať citlivé údaje, kontakty, prihlasovacie údaje, či dokonca správy používateľov. O probléme informovala bezpečnostná firma Check Point.
Rozsah tohto problému je naozaj veľký. Chyba sa ukrýva v staršej verzii Play Core. Ide o Java knižnicu od Googlu, ktorú vývojári zahŕňajú vo svojich aplikáciách pre interakciu s oficiálnym Obchodom Play.
Pomocou tohto modulu môžu aplikácie stiahnuté z obchodu získavať potrebné aktualizácie, doplnkové balíky a taktiež sťahovať ďalšie aplikácie. Ešte nedávno na podobný problém s Play Core upozornila spoločnosť Oversecured.
Tá odhalila, že prostredníctvom chyby v tomto module môžu nebezpečné aplikácie infikovať zariadenia škodlivým kódom a následne odcudziť citlivé údaje, vrátane hesiel, fotografií a ďalších dát.
Obchod Play stále obsahuje zraniteľné aplikácie
Najnovšie na podobný problém upozornil pred pár dňami Check Point. Google síce chybu v Play Core zaplátal ešte na jar tohto roka, keď vydal novú verziu 1.7.2, avšak mnohí vývojári ju vo svojich aplikáciách nevyužili.
Kvôli tomu tak ostávajú ich aplikácie ďalej nechránené a zraniteľné voči nebezpečným útokom. Podľa bezpečnostnej firmy využívalo Play Core celkovo 13 % všetkých aplikácií v Obchode Play, no z toho len 5 % malo aktualizovanú verziu knižnice s bezpečnostnou záplatou. Ostatné aplikácie ostali nechránené.
Názov súboru | Názov | Verzia | Počet stiahnutí |
com.aloha.browser | Aloha | 2.23.0 | 1,000,000 |
com.walla.wallasports | Walla! Sports | 1.8.3.1 | 100,000 |
videoeditor.videorecorder.screenrecorder | XRecorder | 1.4.0.3 | 100,000,000 |
com.tranzmate | Moovit | 5.56.0.459 | 50,000,000 |
com.walla.wallahamal | Hamal | 2.2.2.1 | 1,000,000 |
com.indiamart.m | IndiaMART | 12.7.4 | 10,000,000 |
com.microsoft.emmx | Edge | 45.09.4.5083 | 10,000,000 |
com.grindrapp.android | Grindr | 6.32.0 | 10,000,000 |
ru.yandex.taximeter | Yango Pro (Taximeter) | 9.56 | 5,000,000 |
com.cyberlink.powerdirector | PowerDirector | 7.5.0 | 50,000,000 |
com.okcupid.okcupid | OkCupid | 47.0.0 | 10,000,000 |
com.cisco.wx2.android | Teams | 40.10.1.274 | 1,000,000 |
Medzi aplikácie s aktualizovanou verziou Play Core 1.7.2 patria napríklad najpopulárnejšie sociálne siete ako Facebook, Instagram, Snapchat, WhatsApp alebo prehliadač Chrome. Na druhej strane ostalo mnoho takých, ktoré stále fungujú na starej verzii knižnice. Sem patrí taký prehliadač Edge od Microsoftu, zoznamka OkCupid alebo aplikácia Teams a mnoho ďalších.
Bezpečnostní výskumníci z Check Point už pred mesiacmi upozornili vývojárov na túto chybu, no doteraz Play Core updatovali okrem spomenutých iba Viber a Booking.com. Aplikácie so starou verziou Java knižnice Googlu sú zraniteľné voči útokom cez CVE-2020-8913.
Ako môžu útočníci chybu zneužiť?
V skratke sa v sandboxe aplikácií nachádzajú dva priečinky, jeden pre overené súbory z Obchodu Play, druhý pre neoverené súbory z iných zdrojov. Jednotlivé súbory potom podľa zdroja putujú do jedného z týchto dvoch priečinkov. Ak je súbor zaradený medzi overené, môže interagovať s knižnicou Obchodu Play.
Ďalšia funkcia pritom umožňuje zdrojom pretlačiť súbory do sandboxu hostiteľskej aplikácie. Je tu však limit, kvôli ktorému je súbor zaradený do priečinka pre neoverené súbory a nemá automaticky prístup ku knižnici obchodu.
Útočníci však môžu príkazom zapísať súbor do priečinka s overenými aplikáciami. Stačí, aby použili cestu „../verified_splits/my_evil_payload.apk“, potom bude súbor v zraniteľnej aplikácii a môže pristupovať ku knižnici. Tento problém Google opravil v Play Core ešte 6. apríla. Check Point zverejnil demo tohto problému na videu a ďalšie technické detaily popísal aj na svojom blogu.
Niektorí vývojári vyslyšali varovanie, mnohí ho naďalej ignorujú
V prípade zraniteľných aplikácií, ktoré bezpečnostný update od spoločnosti nevyužívajú, môžu útočníci vložiť nebezpečný kód napríklad aj do bankovej aplikácie, SMS aplikácie či iných a získať tak prístup k finančným údajom, textovým správam, ale aj kódom z dvojfaktorového overovania, či dátam o polohe zariadenia.
Pokiaľ teda doteraz vývojári svoje aplikácie neaktualizovali na najnovšiu verziu Play Core, ostávajú voči takémuto útoku zraniteľné. Medzičasom už boli aktualizované aj aplikácie od Both Grindr & Moovit a Cisca. Naďalej sa však v Obchode Play nachádza množstvo aplikácií, ktoré knižnicu neaktualizovali a predstavujú bezpečnostnú hrozbu.
Ďakujeme, že čítaš Fontech. V prípade, že máš postreh alebo si našiel v článku chybu, napíš nám na redakcia@fontech.sk.
Teraz čítajú
Ultimátna funkcia príde do Google Máp. Vodičom zmení používanie od základov
Slováci oslavujú, do Gmailu dorazila skvelá funkcia. Tu je návod, ako si ju zapneš
PRIPOMIENKA Vyvíjame appku, ktorú používa 9 miliónov ľudí. Na toto musí myslieť každý, kto chce vytvoriť miliónovú aplikáciu
Mala byť revolúciou v hraní, dnes vypína servery. Známa služba oficiálne skončila
Existuje legálna služba, kde si každý film a seriál pozrú ľudia zadarmo
NAJČÍTANEJŠIE ZO STARTITUP
Muž sa chcel stať psom, zaplatil za to 14-tisíc eur. Bojí sa, že priatelia si pomyslia, že je divný
Potraviny Patrika Tkáča oslávili rok: Obslúži ťa robot, požičiaš si Mercedes a kúpiš tu víno aj za 5 900 eur
Jeden typ nehnuteľnosti bude v roku 2023 super investíciou, lacnejší nebude
Ľuďom z nich padla sánka. Najlepšie slovenské gastro podniky, ktoré tento rok otvorili
Česko je aj 30 rokov po rozdelení popredu. To, v čom sme lepší, je našou najväčšou slabinou
- 24 hod
- 48 hod
- 7 dní
-
- Slováci oslavujú, do Gmailu dorazila skvelá funkcia. Tu je návod, ako si ju zapneš
- Slováci Netflix nijak neoklamú. Zásah proti zdieľaniu účtov bude tvrdší, ako sa čakalo
- Rysuje sa brutálny škandál Tesly. Vodičovi počas jazdy odpadol volant, reakcia servisu nahnevala svet
- K Slnku sa rúti gigantická kométa veľká ako mesto. Netušia, čo robí v našej časti vesmíru
- “Hračkárstvo hackerov”. Tieto (ne)legálne gadgety si objednáš z internetu aj na Slovensko
-
- Slováci oslavujú, do Gmailu dorazila skvelá funkcia. Tu je návod, ako si ju zapneš
- Slováci Netflix nijak neoklamú. Zásah proti zdieľaniu účtov bude tvrdší, ako sa čakalo
- Rysuje sa brutálny škandál Tesly. Vodičovi počas jazdy odpadol volant, reakcia servisu nahnevala svet
- K Slnku sa rúti gigantická kométa veľká ako mesto. Netušia, čo robí v našej časti vesmíru
- “Hračkárstvo hackerov”. Tieto (ne)legálne gadgety si objednáš z internetu aj na Slovensko
-
- Slováci oslavujú, do Gmailu dorazila skvelá funkcia. Tu je návod, ako si ju zapneš
- Slováci Netflix nijak neoklamú. Zásah proti zdieľaniu účtov bude tvrdší, ako sa čakalo
- Šanca raz za 50 000 rokov. Najbližšie k Zemi je kométa, ktorú naposledy videli neandertálci
- Rysuje sa brutálny škandál Tesly. Vodičovi počas jazdy odpadol volant, reakcia servisu nahnevala svet
- K Slnku sa rúti gigantická kométa veľká ako mesto. Netušia, čo robí v našej časti vesmíru
Mobily na skládkach vypúšťajú toxické látky. Recyklácia problém nerieši, varuje agentúra
Japonsko robí veľký krok proti Číne. Chce im zabrániť vo výrobe kľúčovej technológie
Výpadky elektriny na západnom Slovensku takmer úplne opravili
Slováci si môžu vydýchnuť. Masívne výpadky elektriny vo väčšine krajiny opravili
Zvýšili výkon Atómovej elektrárne Mochovce. Do siete prifázovali ďalší turbogenerátor
NAJČÍTANEJŠIE ZO STARTITUP
Muž sa chcel stať psom, zaplatil za to 14-tisíc eur. Bojí sa, že priatelia si pomyslia, že je divný
Potraviny Patrika Tkáča oslávili rok: Obslúži ťa robot, požičiaš si Mercedes a kúpiš tu víno aj za 5 900 eur
Jeden typ nehnuteľnosti bude v roku 2023 super investíciou, lacnejší nebude
Ľuďom z nich padla sánka. Najlepšie slovenské gastro podniky, ktoré tento rok otvorili
Česko je aj 30 rokov po rozdelení popredu. To, v čom sme lepší, je našou najväčšou slabinou
Copyright© 2023 by Startitup, s. r. o. Všetky práva vyhradené