Аналитики компании Check Point предупреждают разработчиков приложений для Android, использующих такие инструменты, как APKTool, IntelliJ, Eclipse и Android Studio, о проблеме ParseDroid, затрагивающей библиотеку парсинга XML, входящую в состав данных решений.

В основе ParseDroid лежит классическая XXE-уязвимость (XML External Entity). Дело в том, что во время парсинга файла XML уязвимая библиотека не отключает отсылки к внешним источникам. Таким образом, атакующий в теории может извлечь любой файл из системы жертвы, просто использовав вредоносную версию файла AndroidManifest.xml или задействовав XML по-другому.

Специалисты Check Point подчеркивают, что спрятать вредоносный XML-код можно во множестве разных мест. К примеру, он может быть скрыт внутри файлов AAR (Android Archive Library). К тому же сама экосистема Android устроена таким образом, что разработчики приложений нередко «клонируют» чьи-то чужие приложения или заимствуют из них хотя бы часть кода. Плюс атакующие могут скрыть вредоносный код в составе любых опенсорных решений и библиотек, размещенных на GitHub  или в других популярных репозиториях. В итоге проблема ParseDroid может угрожать тысячам разработчиков.

Авторы APKTool, IntelliJ, Eclipse и Android Studio уже выпустили обновления для своих продуктов, так что всем их пользователям рекомендуется обновиться как можно скорее. Более того, вместе с ParseDroid в составе APKTool  была найдена и устранена еще одна «смежная» уязвимость, позволяющая атакующему выполнить произвольный код в уязвимой системе.

Видеоролик ниже демонстрирует ParseDroid в действии.



2 комментария

  1. Themistocles

    07.12.2017 at 23:17

    эх, дырявое ведро. куда деваться если андроид дырявый, а яблоки не перевариваются??

    • john_

      08.12.2017 at 06:54

      У тебя есть выбор — виндафон, файрфоксОС (проект закрыт) , убунтуТач (проект закрыт), кнопочки.

      Разнообразие же.
      А яблоки с точки зрения безопасности не так плохи.

Оставить мнение