Обнаружена уязвимость Android, позволяющая украсть конфиденциальные данные устройства

Intent

Исследователи проблем безопасности мобильных устройств Nightwatch Cybersecurity опубликовали данные о возможности использования Intent (объектов обмена сообщениями операционной системы Android) для получения важной информации устройства. Злоумышленники могут получить доступ к имени сети Wi-Fi, BSSID, локальным IP-адресам, данным DNS-сервера и MAC-адресам. Кроме того, с помощью «бреши» можно отслеживать положение устройства на местности.

Уязвимость в реализации объектов Intent

С помощью объектов обмена сообщениями ОС или запущенные приложения транслируют информацию, открытую для всех других приложений. Два типа объектов Intent, WifiManager NETWORK_STATE_CHANGED_ACTION и WifiP2pManager WIFI_P2P_THIS_DEVICE_CHANGED_ACTION, могут быть использованы для получения информации о Wi-Fi подключении.

Обычно эти данные защищены от приложений, не получивших допуск к сети Wi-Fi. Однако передаваемая посредством Intent информация доступна для всех запущенных приложений и для их компонентов. По мнению специалистов Nightwatch Cybersecurity, это позволяет обойти все защитные механизмы ОС Android.

Используя полученные подобным образом данные, злоумышленник может обратиться к публичным базам идентификаторов BSSID и отследить местоположение устройства — и его пользователя — в реальном мире. Как заявляют исследователи, уязвимость наблюдается во всех версиях ОС Android.

Nightwatch Cybersecurity сообщила об обнаруженной уязвимости ещё в марте 2018 года, однако Google сообщила, что исправления, касающиеся объектов Intent, в Android будут внесены только начиная с версии 9.0. Устройства с более старыми версиями системы останутся уязвимы.

Сети Wi-Fi регулярно демонстрируют себя слабым звеном в защите ОС Android. В конце 2017 года стало известно об уязвимости, получившей название KRACK (Key Reinstallation Attacks). Однако подход изнутри, продемонстрированный Nightwatch Cybersecurity, встречается нечасто.

via Bleeping Computer, ZDNet
Source: Nightwatch Cybersecurity

Ещё интересное для вас:
— Биты, байты, Ада Лавлейс — тест на знание околоIT.
— Level Up — события и курсы, на которых можно поднять свой уровень.
— Работа мечты — лучшие IT-вакансии для вас.

Вакансии в тему:

Лого компании «Finch»
Android-разработчик
Android-разработчик
Finch, Москва, от 80 000 до 150 000 ₽ (до налогов)