Атака Dirty Stream угрожает множеству приложений для Android

→ Оригинал (без защиты от корпорастов) | Изображения из статьи: [1] [2] [3]

Эксперты Microsoft рассказали о новой технике path traversal атак Dirty Stream, которая позволяет вредоносным приложениям для Android перезаписывать файлы в домашней директории других приложений. Это может привести к выполнению произвольного кода и краже секретов. Проблеме подвержены такие популярные приложения, как Xiaomi File Manager и WPS Office, насчитывающие более 1,5 млрд установок.

Атака Dirty Stream

Проблема возникает из-за некорректного использования системы контент-провайдер (Content Provider) в Android, которая управляет безопасным доступом к структурированным наборам данных, предназначенным для совместного использования различными приложениями.

Эта система использует защитные меры, включая изоляцию данных, URI-разрешения и валидацию путей для предотвращения несанкционированного доступа, утечек данных и атак типа path traversal. Однако исследователи предупредили, что защиту можно обойти путем некорректной имплементации кастомных намерений (intent). Примерами неправильной имплементации могут служить использование невалидированных имен файлов и путей в намерениях, некорректное использование компонента FileProvider и недостаточная валидация путей.

Атака Dirty Stream позволяет вредоносным приложениям отправлять файл с подмененным именем или путем другому приложению, используя пользовательское намерение. Целевое приложение вводится в заблуждение, доверяя имени файла или пути, а в итоге выполняет или сохраняет файл в критически важном каталоге.

Манипуляция потоком данных между двумя приложениями превращает обычную функцию ОС в инструмент для атак, что может привести к несанкционированному выполнению кода, краже данных, захвату полного контроля над поведением приложения и прочим последствиям.

Возможные сценарии атак

Исследователь Димитриос Валсамарас (Dimitrios Valsamaras) пишет, что таких некорректных имплементаций, к сожалению, очень много, и суммарно они затрагивают приложения, установленные более четырех миллиардов раз.

«Мы публикуем это исследование, чтобы разработчики и издатели могли проверить свои приложения на наличие подобных проблем, исправить их в случае необходимости и предотвратить появление подобных уязвимостей в новых приложениях и релизах», — пишет Валсамарас.

В отчете Microsoft упоминаются лишь два приложения, уязвимые перед Dirty Stream:

Xiaomi File Manager (com.mi. Android.globalFileexplorer) — более 1 миллиарда установок;
WPS Office (cn.wps.moffice_eng) — более 500 миллионов установок.

Сообщается, что в обоих случаях разработчики оперативно отреагировали на предупреждение Microsoft и внедрили исправления для снижения рисков в свои продукты.

Кроме того, компания Google уже обновила свое руководство по безопасности приложений, указав на распространенные ошибки при использовании системы контент-провайдер, которые позволяют обойти защиту.