Специалисти по информационна сигурност алармират, че хиляди мобилни приложения в Google Play съдържат известни с години уязвимости, които продължават да не бъдат запушвани. Сред засегнатите са и някои от най-популярните мобилни апликации в магазина на Google, като Facebook, Instagram, WeChat и други.

Когато Google или Facebook например открият слабост, която може да се използва от хакери, за да компрометират защитата ви, вие нанасяте съответните обновления и сте защитени. Но тези обновления по-често засягат основните приложения и код на компанията. Но същите тези приложения ползват често код и библиотеки за повторно ползване, обикновено от проекти с открит характер, които биват интегрирани в приложението и остават във вида, в който идват години наред. Именно тези библиотеки, споделяни често от много приложения, могат да станат вектор за превземане на устройството ви, да ви следят или по някакъв друг начин да ви навредят. Те са и обект на проучване от Check Point, които правят проверка за наличието на подобни уязвими библиотеки в магазина за приложения на Google Play.

„Едно популярно мобилно приложение използва дузина компоненти за повторно ползване, написани на език от ниско ниво като C. Тези компоненти, наричани „нативни библиотеки“, често идват от проекти с открит код, или съдържат фрагменти от код от открити проект“, пишат специалистите в изследването си. „Когато една уязвимост е открита и поправена в един открит проект, тези, които го поддържат обикновено нямат контрол над нативните библиотеки, които може да са засегнати от уязвимостта, или приложенията, използващи тези нативни библиотеки“.

Check Point дават за пример едва три такива известни и покрити преди години уязвимости, които обаче засягат десетки милиони потребители. И трите посочени уязвимости са свързани с възможността за изпълнение на произволен код по дистанционен път и могат да позволят на атакуващата страна да прави, каквото поиска на устройството, ако проблемът бъде експлоатиран успешно. Самите уязвимости са адресирани отдавна в самите библиотеки, но тези нови версии на тези библиотеки, така и не са намерили място в приложенията, които ги използват. Компанията са се свързали с Google и Facebook, за да споделят своите открития. От Facebook са заявили, че експлоатирането на проблемите в приложението на социалната мрежа ще е неуспешно, заради дизайна на тяхното приложение. От Check Point обаче допълват, че посочените три проблема са просто върха на айсберга, а и те не засягат само Facebook и не всички засегнати приложения спазват защитния дизайн на разработчика.

От Google споделят, че са информирани за случая и в момента разследват подробно ситуацията.

Но тук става въпрос за по-голям проблем, контрират Check Point. Не става дума единствено за тази или онази конкретна уязвимост, а за широко използвана практика от разработчиците.
„Извършвал съм доста офанзивни проучвания в кариерата си“, споделя в интервю за Forbes Янив Балмас от Check Point. „Ако ме наемете да намеря начин да вляза в нечий телефон, мога да потърся непокрити все още уязвимости. Това обаче ще ми коства време и ресурси. Вместо това, мога да потърся пряк път. И това е именно такъв пряк път. Търся съществуващи уязвимости. Ето така мисли офанзивния ум“.

„Магазините за мобилни приложения и специалистите по защита сканират проактивно апликациите за зловредни модели, но отдават по-малко внимание на добре известни от отдавна уязвимости. За нещастие, това означава, че крайният потребител няма много какво да направи, за да запази мобилното си устройство напълно защитено“, заключават в доклада си Check Point.

3
ДОБАВИ КОМЕНТАР

avatar
1 Коментари
2 Отговори на коментарите
0 Последователи
 
Коментарът с най-много реакции
Най-горещият коментар
  Абонирай се  
нови стари оценка
Извести ме за
Георги
Георги

Джендър бой продавай галаксито.. 😀 😀 😀

Арнолд Шварц е негър
Арнолд Шварц е негър

ах да се … в джендъра пак се прецаках

Петър
Петър

А ти джентърX2 продай инструмента на ФАЩ за следене