Positive Technologies обнаружила опасную многолетнюю уязвимость в Android

Добавлено — 21.03.2019

Эксперт Positive Technologies Сергей Тошин выявил критически опасную уязвимость в актуальных версиях операционной системы Google Android (7.0, 8.0, 9.0) и ее более ранних редакциях. Ошибка обнаружена в компоненте WebView. Она позволяет получать доступ к конфиденциальным данным пользователей Android через установленное вредоносное приложение или приложение с мгновенным запуском (Android instant apps).

Злоумышленники потенциально могут получить доступ к важной информации на смартфоне — от истории посещений в браузерах до сессий мессенджеров и банковских приложений. В настоящее время уязвимость устранена в Google Chrome 72. Пользователям рекомендуется проверить версию браузера на своих устройствах

Специалисты Google оценивают уровень опасности данной уязвимости (CVE-2019-5765) как высокий.

«Компонент WebView сегодня используется в большинстве мобильных приложений Android, поэтому атаки на него крайне опасны, — отмечает специалист группы исследований безопасности мобильных приложений Positive Technologies Сергей Тошин. — Самый очевидный сценарий атаки связан с малоизвестными сторонними приложениями. Злоумышленник может добавить в них вредоносную функциональность для считывания информации из WebView других приложений, что позволит ему перехватывать историю браузера, аутентификационные токены и заголовки (которые являются довольно распространенным способом аутентификации) и другие данные».

WebView — компонент платформы Android, который дает возможность отображать веб-страницы внутри Android-приложения. Проблема обнаружена в движке Chromium, на котором построен WebView, начиная с Android 4.4. Уязвимость также угрожает пользователям мобильных браузеров на базе Chromium, таких как Google Chrome, Samsung Internet, Яндекс.Браузер.

Технология instant apps позволяет просмотреть приложение на устройстве без установки: на устройство пользователя скачивается только небольшой файл после перехода по ссылке в браузере. При атаке через instant apps перехват данных возможен, если пользователь нажмет на ссылку с вредоносным мгновенным приложением.

«Начиная с Android 7.0, компонент WebView реализован через Google Chrome, поэтому для исправления уязвимости надо просто обновить этот браузер, — отмечает Сергей Тошин. — На более старых версиях Android придется актуализировать компонент WebView через систему обновления Google Play. Пользователям оборудования, на котором отсутствуют сервисы Google, нужно дождаться обновления WebView от поставщика устройства».




+ В закладки
  • Отзывы
  • Личный опыт
  • Статьи
20.05.2019 — NikNik
Samsung Galaxy A50 - Телефоны
Это не первый мой телефон самсунга, уже имею опыт общения. Очень понравился большой экран, отлично работает отпечаток, памяти хват...
20.05.2019 — ValerGun
Samsung Galaxy S10 - Телефоны
Хочу поделиться своими впечатлениями о телефоне Galaxy S10 . Первое - это дизайн, он просто великолепен, я взял зелёный. Соотношен...
Еще?

TOP-модели
Samsung UE43NU7090U
Samsung UE65RU7140U
Samsung UE55RU7140U
Samsung Galaxy A50



Войти через:
Впервые на Samsung Club? Зарегистрируйтесь или воспользуйтесь формой логина.