Android daje aplikacjom „bez uprawnień” dostęp do poufnych informacji

Badacz bezpieczeństwa publikuje aplikację proof-of-concept, aby zademonstrować lukę w zabezpieczeniach mobilnego systemu operacyjnego Google.

W dużej mierze dzięki historii luźnej kontroli aplikacji na Androida, mobilny system operacyjny Google był krytykowany jako niezabezpieczony.

Ale teraz okazuje się, że aplikacje bez uprawnień stanowią nowe zagrożenie, uzyskując dostęp do poufnych danych osobowych bez autoryzacji. Badacz z Leviathan Security Group, Paul Brodeur, wyjaśnił w poście na blogu na początku tego tygodnia, że stworzył proof-of-concept, aby zademonstrować, że aplikacje „bez uprawnień” nadal mają dostęp do karty SD urządzenia, danych identyfikacyjnych telefonu i plików przechowywanych przez inne aplikacje.

Na karcie SD aplikacja Brodeur wyświetliła listę wszystkich nieukrytych plików, w tym zdjęć, kopii zapasowych i zewnętrznych plików konfiguracyjnych. Brodeur powiedział, że odkrył, że certyfikaty OpenVPN były przechowywane na karcie SD jego własnego urządzenia.

„Chociaż możliwe jest pobranie zawartości wszystkich tych plików, pozostawię komuś innemu decyzję, które pliki powinny zostać pobrane, a które będą nudne” – powiedział.

Następnie pobrał plik /data/system/packages.list, w którym zainstalowano aplikacje na urządzeniu i przeskanował katalogi w celu ustalenia, czy można z nich odczytać poufne informacje. Podczas testów powiedział, że był w stanie odczytać niektóre pliki należące do innych aplikacji. „Ta funkcja może być używana do znajdowania aplikacji z lukami w zabezpieczeniach o słabych uprawnieniach, takich jak te, które zostały zgłoszone w Skype w zeszłym roku” – powiedział.

Wreszcie, aplikacja Brodeur była w stanie zebrać informacje identyfikacyjne telefonu. Bez uprawnienia „PHONE_STATE” aplikacje nie mogą odczytywać międzynarodowego identyfikatora urządzenia mobilnego lub międzynarodowego identyfikatora abonenta mobilnego. Jednak informacje Global System for Mobile Communications i identyfikatory dostawców kart SIM nadal mogły być odczytywane.

„Chociaż ta aplikacja używa przycisków do aktywowania trzech różnych działań opisanych powyżej, to każda zainstalowana aplikacja może wykonać te działania bez interakcji z użytkownikiem” – napisał.

Brodeur powiedział, że testował aplikację na Androidzie 4.0.3 Ice Cream Sandwich i Androidzie 2.3.5 Gingerbread.

Źródło: https://news.cnet.com/8301-1009_3-57412799-83/android-gives-no-permissions-apps-access-to-sensitive-info/