حفره امنیتی اندروید، شیائومی را به دردسر انداخت

به گزارش واحد ترجمه ایران دکونومی، محققان مایکروسافت به تازگی به وجود یک حفره‌ امنیتی مهم با نام Dirty Stream در اندروید پی برده‌اند که به هکرها اجازه می‌دهد به راحتی کنترل برنامه‌ها را در دست گرفته و اطلاعات ارزشمند کاربران را به‌سرقت ببرند.

آسیب‌پذیری در سیستم Content Provider اندروید و خطر نشت داده‌ها

این آسیب‌پذیری از سیستم Content Provider اندروید استفاده می‌کند که معمولاً برای تبادل داده‌ها بین اپلیکیشن‌های مختلف در یک دستگاه به صورت ایمن طراحی شده است. این سیستم از طریق جداسازی داده‌ها، استفاده از مجوزهای مرتبط با آدرس‌های خاص و اعتبارسنجی دقیق مسیرهای فایل از دسترسی غیرمجاز به داده‌های کاربر جلوگیری می‌کند. ولی اخیراً مشخص شده است که استفاده‌ی نادرست از Intent سفارشی می‌تواند بخش‌های حساس یک اپلیکیشن را به خطر بیاندازد؛

در واقع، مهاجم با سوءاستفاده از حفره‌ی امنیتی Dirty Stream سیستم عامل اندروید، اپلیکیشن آسیب‌پذیر را وادار می‌کند به اشتباه فایل‌های مهم را در فضای ذخیره‌سازی خصوصی خود بازنویسی کنند تا از این طریق کنترل کامل رفتار اپلیکیشن را در دست گرفته و اطلاعات کاربر را به‌سرقت ببرد. عواملی مثل استفاده نادرست از مولفه FileProvider، اعتماد به نام فایل و مسیرهای تأیید‌نشده در پیام‌های سفارشی (Custom Intents) و اعتبارسنجی ضعیف مسیر، می‌توانند باعث پیاده‌سازی نادرست این سیستم شوند.

مایکروسافت در ادامه پژوهش‌های خود دریافت که اپلیکیشن مدیریت فایل شیائومی با بیش‌ از یک میلیارد نصب و WPS Office با حدود ۵۰۰ میلیون نصب دو برنامه‌ای هستند که با مشکل پیاده‌سازی نادرست سیستم Content Provider دست و پنجه نرم می‌کنند.

در راستای مقابله با این مشکل، مایکروسافت ضمن به‌اشتراک‌گذاری یافته‌های خود، برای ارائه هرچه‌سریعتر وصله‌های امنیتی با توسعه‌دهندگان اپلیکیشن‌های آسیب‌پذیر همکاری کرده است. گوگل نیز با به‌روزرسانی دستورالعمل‌های امنیتی خود با تاکید بیشتر بر نقص‌های طراحی رایج  Content Provider ، از آسیب‌پذیری‌های مشابه در آینده جلوگیری خواهد کرد.

توصیه شده است برای جلوگیری از وقوع چنین مشکلاتی، کاربران اپلیکیشن‌های مورد نظر خودشان را صرفاً از فروشگاه‌های رسمی اندروید مثل گوگل پلی دانلود کنند.

منبع: .microsoft