ענקית אבטחת הסייבר, Trend Micro, גילתה פרצות אבטחה בולטות באפליקציית ShareIt באנדרואיד אשר מסכנת את הנתונים הרגישים שלך.
אם אתה משתמש באפליקציית ShareIt בטלפון שלך, ייתכן שתרצה להסיר אותה מיד. ענקית אבטחת סייבר טרנד מיקרו גילתה פרצות אבטחה בולטות באפליקציית שיתוף הקבצים שיכולות להיות "נוצל לרעה כדי להדליף נתונים רגישים של משתמש ולהפעיל קוד שרירותי עם הרשאות ShareIt."
ב להגיש תלונה בנושא, טרנד מיקרו גילה (באמצעות Ars Technica) של-ShareIt יש גישה למספר עצום של הרשאות באנדרואיד בשל הפונקציונליות שהוא מציע. האפליקציה יכולה לגשת לכל האחסון ולכל המדיה, להשתמש במצלמה ובמיקרופון, לגשת לפרטי מיקום ועוד הרבה יותר. זה יכול אפילו למחוק אפליקציות אחרות, להפעיל בעת ההפעלה, ליצור חשבונות ולהגדיר סיסמאות. יתר על כן, ל-ShareIt יש גם גישה מלאה לרשת. בשל רשימה נרחבת זו של הרשאות, פגיעה באפליקציה יכולה לעזור לתוקפים לקבל גישה כמעט מלאה לטלפון שלך ולכל המידע הרגיש שלך. זה גם מאפשר לתוקפים לבצע קוד זדוני מרחוק.
בהרחבה על אחת הנקודות תורפה, Ars Technica מגלה שלShareIt יש אחד פגיעות נפוצה של אפליקציות אנדרואיד שיכול לתת לתוקפים גישת קריאה/כתיבה לכל הקבצים שלו. הפרסום מציין:
"אנדרואיד מתגאה בתקשורת תוך-אפליקציה, בין השאר משום שכל אפליקציה יכולה ליצור ספק תוכן ולספק את התוכן והשירותים שלה לאפליקציות אחרות. אם Gmail רוצה לצרף קובץ לאימייל, הוא יכול לעשות זאת על ידי הצגת רשימה של ספקי תוכן קבצים זמינים המותקנים בטלפון שלך (זהו בעצם תיבת דו-שיח "פתח עם"), והמשתמש יכול לבחור את מנהל הקבצים המועדף עליו, לנווט דרך האחסון שלו ולהעביר את הקובץ שאליו הוא רוצה Gmail. זה תלוי במפתחים לחטא את היכולות בין האפליקציות הללו ולחשוף רק את יכולות מנהל הקבצים הדרושות לג'ימייל ולאפליקציות אחרות".עם זאת, המפתחים שמאחורי ShareIt לא הקדישו מחשבה רבה להגביל את יכולות ספק התוכן של האפליקציה, מה שיכול לתת לתוקפים גישה לכל הקבצים בספריה ה"פרטית" של ShareIt. למעשה, פגיעות זו מאפשרת לתוקפים להתקשר לספק תוכן הקבצים של ShareIt ולהעביר לו נתיב קובץ כדי לקבל גישה לכל קבצי הנתונים שלו. זה מאפשר ליישומי צד שלישי לערוך את הנתונים שבהם ShareIt משתמש כדי להפעיל, כולל מטמון האפליקציה שנוצר במהלך ההתקנה וזמן הריצה. טרנד מיקרו טוען ש "תוקף עשוי ליצור קובץ מזויף, ואז להחליף את הקבצים האלה באמצעות הפגיעות הנ"ל כדי לבצע ביצוע קוד."
מכיוון ש-ShareIt כולל גם מתקין אפליקציית אנדרואיד, הוא גם רגיש להתקפת "איש בדיסק". בשל הפגיעות שהוזכרה לעיל, לתוקפים יש את היכולת להחליף חבילות התקנה עם אפליקציה זדונית ברגע שהורדתם. זה עלול לגרום למשתמשים להתקין אפליקציות זדוניות במכשירים שלהם מבלי לדעת. יתר על כן, לחנות המשחקים של ShareIt יש את היכולת להוריד נתוני אפליקציה דרך HTTP לא מאובטח. זה יכול להיות נתון להתקפה של "איש-באמצע". כפי ש Ars Technica מסביר, "ShareIt רושם את עצמו כמטפל עבור כל קישור שמסיים את הדומיינים שלו, כמו "wshareit.com" או "gshare.cdn.shareitgames.com", והוא יצוץ אוטומטית כאשר משתמשים ילחצו על קישור הורדה. רוב האפליקציות מאלצות את כל התעבורה ל-HTTPS, אבל ShareIt לא. Chrome יסגור את תעבורת הורדת HTTP, אז זה יצטרך להיעשות דרך ממשק אינטרנט שאינו הדפדפן הראשי."
Trend Micro כבר דיווחה על נקודות התורפה ל-ShareIt, אבל המפתחים שלה לא פרסמו שום תיקון כדי לטפל בבעיות עד כה. אנו ממליצים להסיר את ההתקנה של האפליקציה עד שהמפתחים יוציאו תיקון. עד אז, אתה יכול להשתמש ב-Google אפליקציית קבצים לכל צרכי שיתוף הקבצים המקומיים שלך.
מחיר: חינם.
4.2.