Из соображений безопасности все приложения для платформы Android обязаны иметь подпись. Это позволяет системе сверять подлинность обновлений и отсеивать «заражённые» файлы.
На самом видном месте
Однако новое открытие бельгийских специалистов может обходить наложенные ограничения. Уязвимость под названием Janus позволяет хакерам добавлять посторонний контент в APK-файлы без взлома подписи.
Janus комбинирует оригинальный файл APK с модифицированным DEX, тем самым не давая Android распознать подмену. Система даёт разрешение на обновление, и код запускается прямо из заголовка постороннего исполняемого файла. Простыми словами, у злоумышленников появилась возможность взламывать практически любую программу.
Ложная тревога
Но не все так страшно, потому что эта уязвимость на самом деле довольно ограничена. Во-первых, она поражает только приложения, подписанные по оригинальной схеме Android, основанной на JAR. Эта схема была изменена ещё в седьмой версии операционной системы на более совершенную. Во-вторых, Janus распространятся только на приложения, загруженные из Сети. Программы из Play Market новому багу затронуть не удалось.
Специалисты обнаружили эту уязвимость ещё в июле, а в начале декабря вышел соответствующий патч. Всем пользователями Android-устройств настоятельно рекомендуется обновить операционную систему.
Источник: Android Police
