مایکروسافت در مورد حمله Dirty Stream هشدار داده است که اپلیکیشنهای اندرویدی مخرب می توانند فایل های درون سایر برنامه های هوم دایرکتوری را بازنویسی و کد دلخواه خود را اجرا کرده و داده ها را به صورت مخفیانه به سرقت ببرند.
این آسیب پذیری ناشی از استفاده نادرست از سیستم ارائه دهنده محتوای اندروید است که دسترسی به مجموعه داده های ساخت یافته را که قرار است بین برنامه های مختلف به اشتراک گذاشته شود، مدیریت می کند.
این سیستم شامل ایزوله سازی داده، مجوزهایURL و مسیر تایید معیارهای امنیتی برای جلوگیری از دسترسی های غیرمجاز، نشت داده ها و حملات پیمایش مسیر استفاده می شود.
زمانی که پیاده سازی اشتباه باشد، intentهای سفارشی که ارتباط بین مولفه ها در اپلیکیشن های اندرویدی را تسهیل می کنند، می توانند این معیارهای امنیتی را دور بزنند. مثال هایی از پیاده سازی های نادرست شامل تایید کردن نامهای فایل و مسیرهای نامعتبر در intentها، استفاده نادرست از کامپوننت FileProvider و تایید مسیر ناقص است.
Dirty Stream به اپلیکیشن های مخرب امکان ارسال فایل با نام فایل دستکاری شده یا مسیری به اپلیکیشن دیگری با استفاده از intent سفارشی را میدهد. اپلیکیشن هدف گمراه شده و به نام یا مسیر فایل اعتماد کرده و فایل را در یک دایرکتوری حیاتی اجرا یا ذخیره می کند.
دستکاری جریان داده بین 2 اپلیکیشن اندرویدی یک عملکرد معمولی سطح OS را به یک سلاح تبدیل کرده و می تواند منجر به اجرای کد غیرمجاز، سرقت داده یا سایر حوادث مخرب شود.
به گفته محققین مایکروسافت متاسفانه این پیاده سازی های نادرست فراوان بوده و حتی روی برنامه هایی که بیش از چهارمیلیارد بار نصب شده اند تاثیر می گذارند و سطح حمله عظیمی را فراهم می کند. همچنین پیش بینی می کنند که الگوی آسیب پذیری در سایر اپلیکیشن ها نیز پیدا شود.
دو اپلیکیشنی که مایکروسافت به عنوان آسیب پذیر در این حملات ذکر کرده است، File Manager شیائومی با بیش از یک میلیارد نصب و WPS Office که حدود 500 میلیون نصب دارد، هستند. هر دو شرکت سازنده با مایکروسافت همکارهای لازم را تا یافتن راه حلی برای کاهش خطرات ناشی از آسیب پذیری، دارند. گزارش مایکروسافت در وب سایت Android Developers به اشتراک گذاشته شده است.
گوگل نیز دستورالعمل های امنیتی برنامه های خود را به روز رسانی کرد تا خطاهای رایج در پیاده سازی سیستم ارائه دهنده محتوا، مشخص کند.
در مورد کاربران نهایی نیز در حال حاضر تنها کاری که باید انجام دهند این است که برنامه های خود را به روز نگه دارند و فایل APK برنامه ها را از منابع غیررسمی و نامعتبر دانلود نکنند.
منبع:
