Google прекратява поддръжката на WebView в старите версии на Android

Google спира поддръжката на ключов компонент във версиите на Android, които са по-стари от v. 4.4 (KitKat), сподели вчера новината специалист по инфозащита, призовавайки компанията да преосмисли плановете си, които може да оставят повече от 60% от потребителите на мобилната операционна система уязвими на атаки.

Вчера, Тод Биърдсли от Rapid7, сподели в блога на компанията новината от екипa по безопасност към Google, че те няма да издават повече обновления за дупки в сигурността на WebView в Android 4.3 Jelly Bean (и по-старите версии на системата).

WebView е основен компонент от операционната система на Google, който обслужва вградения в Android браузър в Jelly Bean. В KitKat брузър по подразбиране е Chrome. WebView помага на приложенията в системата при показване на интернет страници. „WebView е начинът, по който всяко приложение отразява уеб страница или уеб-базирано съдържание, като да речем онлайн рекламни съобщения, и той представлява вектор за атака в Android. Това е начина, по който Android „говори“ с Интернет, и ако съм онлайн престъпник, то бих експлоатирал уязвимостта на WebView чрез изграждането на специален сайт и бих очаквал момента, в който някой би го посетил“, обяснява Биърдсли в интервю.

Биърдсли споделил на хората от Google още през октомври за уязвимост в Webview, откъдето получил отговор, че те вече не поддържат платформата. „Ако засегнатата версия на WebView е преди 4.4, ние принципно не разработваме пачовете, но сме открити към приемането на такива. Освен информирането на OEM производителите, ние не може да предприемем, каквито и да е било мерки при получаването на доклад за проблем във версии преди 4.4, които не са придружавани от съответен пач“, са отговорили от Google на Биърдсли, който определя тази политика, като шокираща.

„Android разполага с огромна инсталационна база“, споделя той, посочвайки, че версиите на WebView, които няма да получават вече обновления по сигурността засягат 60% от потребителите на операционната система.

Биърдсли критикува Google също така, заради това, че те не предоставят на потребителите си официални рамки за край на поддръжката (End Of Life, EOL) на своите продукти. За разлика от тях и Apple, компании като Microsoft и BlackBerry имат съвсем различна политика. За него било странно също така, че явно не всички компоненти на 4.3 са изоставени. Той докладвал за бъг в аудио плейъра и от Google го уведомили, че ще изправят проблема.

„Инженерните екипи на Google често пъти са показвали, че са най-добрите в много отношения, в това число и при разработката на Android OS, така че фактът, че се оттеглят от обезпечаване на сигурността на платформата е изключително притеснително. Надявам се, че Google ще преосмислят своето решение“, пише Биърдсли.

Понастоящем инструментът за тестване на сигурността на продуктите и системите на Rapid7 Metasploit включва няколко експлойт модула за уязвимости в WebView в Jelly Bean, потвърждава Биърдсли.