10 億台以上の Android デバイスにこれらの脆弱性のあるアプリがインストールされている

Microsoft Threat Intelligence チームのセキュリティ研究者は、いくつかの人気のある Android アプリケーションに「ダーティ ストリーム」攻撃と呼ばれるパス トラバーサル関連の脆弱性を明らかにしました。

この脆弱性により、悪意のあるアプリが脆弱なアプリのホーム ディレクトリにある任意のファイルを上書きする可能性があります。

水曜日に公開されたレポートの中で、マイクロソフト脅威インテリジェンス チームのディミトリオス ヴァルサマラス氏は次のように述べています。言った, 「この脆弱性パターンの影響には、アプリケーションの実装によっては、任意のコードの実行やトークンの盗難が含まれます。」

同氏はさらに、「任意のコードが実行されると、脅威アクターがアプリケーションの動作を完全に制御できるようになる可能性があります。一方、トークンの盗難により、攻撃者はユーザーのアカウントや機密データにアクセスできるようになります。」

この発見は、Google Play ストアの複数の脆弱なアプリに影響を及ぼし、インストール数は 40 億を超えました。

この問題に対して脆弱であることが判明したアプリのうち 2 つは、10 億回以上インストールされている Xiaomi Inc. File Manager (com.mi.Android.globalFileexplorer) と、5 億回以上ダウンロードされている WPS Office (cn.wps.moffice_eng) です。 。

Android オペレーティング システムは、各アプリケーション、特にコンテンツ プロバイダー コンポーネントとその「FileProvider」クラスに独自の専用データとメモリ空間を割り当てることで分離を強制し、インストールされている他のアプリケーションとの安全なデータとファイルの共有を容易にします。

誤って実装すると、アプリケーションのホーム ディレクトリ内の読み取り/書き込み制限を回避できる脆弱性が発生する可能性があります。

「このコンテンツ プロバイダー ベースのモデルは、明確に定義されたファイル共有メカニズムを提供し、サービスを提供するアプリケーションが、きめ細かい制御で安全な方法で他のアプリケーションとファイルを共有できるようにします」と Valsamaras 氏は述べています。

「しかし、消費側アプリケーションが受信したファイルの内容を検証せず、最も懸念されるのは、受信したファイルを消費側アプリケーションの内部データ ディレクトリ内にキャッシュするために、サービス側アプリケーションによって提供されたファイル名を使用するというケースに頻繁に遭遇しました。 」

悪意のあるコードの実行は、脅威アクターがアプリケーションの動作を完全に制御できるようにし、アプリケーションが制御下のサーバーと通信して機密データにアクセスできるようにすることで実現できます。

Microsoft の責任ある情報開示ポリシーの一環として、同社は調査結果を Dirty Stream の影響を受けた Android アプリの開発者と共有しました。たとえば、Xiaomi, Inc. と WPS Office セキュリティ チームはすでにこの問題を調査し、修正しています。

しかし、同社は、同様のセキュリティ上の弱点により、より多くのアプリケーションが影響を受け、侵害される可能性があると考えています。したがって、すべての開発者がその調査結果を分析し、自社の製品が影響を受けないことを確認することを推奨しています。

「この脆弱性パターンは他のアプリケーションでも見つかる可能性があると予想しています。開発者と発行者がアプリに同様の問題がないか確認し、必要に応じて修正し、新しいアプリやリリースにそのような脆弱性が入り込むのを防ぐことができるように、私たちはこの調査結果を共有しています」とヴァルサマラス氏は付け加えた。

この脆弱性パターンは広範囲に広がっている可能性があることを認識し、Microsoft はその調査結果を Google の Android アプリケーション セキュリティ研究チームとも共有しました。

検索大手が公開したAndroid 開発者 Web サイトの記事開発者がアプリにこの脆弱性パターンを持ち込まないようにするために役立ちます。

一方、ユーザーは、Android デバイスと信頼できるソースからインストールされたアプリを最新の状態に保つことでリスクを軽減できます。