Уязвимость ParseDroid ставит под угрозу разработчиков Android-приложений

Добавлено — 06.12.2017

Специалисты компании Check Point обнаружили уязвимость в библиотеке парсинга XML, входящей в состав популярных инструментов для разработки, в том числе APKTool, IntelliJ, Eclipse и Android Studio. Проблема, получившая название ParseDroid, позволяет атакующим похищать файлы и выполнять произвольный код на уязвимых системах.

ParseDroid представляет собой кроссплатформенную XXE-уязвимость, которую легко можно проэксплуатировать. По словам исследователей, ParseDroid предоставляет злоумышленнику возможность получить доступ к файловой системе и извлечь любой файл с компьютера жертвы при помощи вредоносного файла AndroidManifest.xml.

Атака проста в исполнении, так как вредоносный код XML может быть спрятан не только в AndroidManifest.xml, но и в других файлах, например, AAR (Android Archive Library). Более того, экосистема Android позволяет клонировать приложения сторонних разработчиков, чем может воспользоваться атакующий. К примеру, он может разместить вредоносный код под видом открытых шаблонов приложений или библиотек на GitHub и других подобных сайтах и атаковать тысячи пользователей без затраты большого количества ресурсов. Ниже представлено видео с демонстрацией атак:

Эксперты проинформировали разработчиков уязвимых инструментов о проблеме. Патчи, исправляющие уязвимость, уже доступны. Разработчикам, использующим APKTool, IntelliJ, Eclipse и Android Studio, рекомендуется обновить свои среды разработки.

Помимо ParseDroid, инструмент APKTool подвержен еще одной уязвимости, проэксплуатировав которую атакующий может выполнить произвольный код на уязвимых системах. Таким образом, атакующий сможет не только извлечь данные, но и загрузить на устройство вредоносное ПО.




+ В закладки
  • Отзывы
  • Личный опыт
  • Статьи
13.12.2018 — Татьяна
Samsung Galaxy J4 Plus - Телефоны
Присматривалась к телефону долго, выбирала по характеристикам, но все же решилась и купила. Не пожалела. Модель очень нравится мне...
12.12.2018 — Катерина
Samsung Galaxy A8 Plus 2018 - Телефоны
У меня этот телефон уже 4 месяца. Покупкой довольна. Телефон прекрасный, очень нравится его экран, он большой и яркий, камеры в те...
Еще?

TOP-модели
Samsung Galaxy S6
Samsung C32JG51FDI
Samsung Galaxy A8s
Samsung Galaxy S7



Войти через:
Впервые на Samsung Club? Зарегистрируйтесь или воспользуйтесь формой логина.