Проблема Dirty Stream затрагивает множество популярных приложений, установленных на устройствах, включая Xiaomi File Manager, WPS Office и др. Как отмечают исследователи из Microsoft, многие приложения для Android, в том числе не менее четырех с более чем 500 миллионами установок каждое, подвержены риску удаленного выполнения кода, кражи токенов и другим безопасностным угрозам из-за недостатков в защите. Эту информацию опубликовал Dark Reading.
Microsoft передала свои выводы группе исследователей Google по Android-безопасности, после чего Google выложила новое руководство для разработчиков приложений, советуя им выявить и устранить указанные проблемы.
Кроме того, Microsoft обменялась информацией с поставщиками затронутых приложений в Google Play. Среди них были File Manager от Xiaomi, с числом установок более 1 миллиарда раз, и WPS Office, скачанный около 500 миллионов раз. По данным источника, поставщики данных приложений уже устранили обнаруженные уязвимости. Тем не менее, существуют и другие приложения, которые также могут быть скомпрометированы из-за угрозы Dirty Stream.
Файловый менеджер (File Manager) Xiaomi был установлен более одного миллиарда разисточник: microsoft.com
Microsoft выявила проблему, затрагивающую приложения Android, которые обмениваются файлами с другими приложениями. В Android для безопасного обмена данными используется функция "поставщика контента", которая действует как интерфейс для управления и предоставления данных одного приложения другим на устройстве. Однако некоторые приложения не проверяют содержимое получаемых файлов и используют предоставленное имя файла для кэширования внутри себя. Это дает возможность злоумышленникам отправлять файлы с вредоносными именами в принимающие приложения без ведома пользователя.
Злоумышленники могут использовать это для перезаписи настроек или выполнения произвольного кода в приложении-получателе. Microsoft и Google уже предоставили разработчикам советы, как предотвратить такие атаки. Пользователям рекомендуется регулярно обновлять приложения и избегать загрузки из ненадежных источников, чтобы снизить риск столкновения с этой угрозой.
