Категория > Новости > Разработчикам приложений для Android угрожает уязвимость ParseDroid - «Новости»

Разработчикам приложений для Android угрожает уязвимость ParseDroid - «Новости»


7-12-2017, 08:00. Автор: Юлия

Аналитики компании Check Point предупреждают разработчиков приложений для Android, использующих такие инструменты, как APKTool, IntelliJ, Eclipse и Android Studio, о проблеме ParseDroid, затрагивающей библиотеку парсинга XML, входящую в состав данных решений.


В основе ParseDroid лежит классическая XXE-уязвимость (XML External Entity). Дело в том, что во время парсинга файла XML уязвимая библиотека не отключает отсылки к внешним источникам. Таким образом, атакующий в теории может извлечь любой файл из системы жертвы, просто использовав вредоносную версию файла AndroidManifest.xml или задействовав XML по-другому.


Специалисты Check Point подчеркивают, что спрятать вредоносный XML-код можно во множестве разных мест. К примеру, он может быть скрыт внутри файлов AAR (Android Archive Library). К тому же сама экосистема Android устроена таким образом, что разработчики приложений нередко «клонируют» чьи-то чужие приложения или заимствуют из них хотя бы часть кода. Плюс атакующие могут скрыть вредоносный код в составе любых опенсорных решений и библиотек, размещенных на GitHub  или в других популярных репозиториях. В итоге проблема ParseDroid может угрожать тысячам разработчиков.


Авторы APKTool, IntelliJ, Eclipse и Android Studio уже выпустили обновления для своих продуктов, так что всем их пользователям рекомендуется обновиться как можно скорее. Более того, вместе с ParseDroid в составе APKTool  была найдена и устранена еще одна «смежная» уязвимость, позволяющая атакующему выполнить произвольный код в уязвимой системе.


Видеоролик ниже демонстрирует ParseDroid в действии.


Источник новостиgoogle.com
Перейти обратно к новости