Door een kwetsbaarheid in ES File Explorer kan een aanvaller op hetzelfde netwerk elk bestand van uw apparaat stelen. Het zal worden opgelost.
Update 18-1-2019 om 16:00 uur CT: De ontwikkelaars van ES File Explorer hebben een update voor hun app uitgebracht die het beveiligingslek verhelpt.
ES File Explorer werd ooit aangeprezen als de bestandsverkenner die je moet verslaan voordat je wordt opgekocht door Cheetah mobiel. De applicatie werd al snel overspoeld met advertenties, maar degenen met premiumversies van de applicatie zijn deze mogelijk blijven gebruiken. Zelfs nu ken ik mensen die dat doen nog steeds gebruik de gratis versie van de applicatie, daarbij verwijzend naar het feit dat het "gewoon werkt". Dat ondanks het feit dat er veel alternatieven zijn die over de hele linie ook gewoon beter zijn. MiXplorer, FX File Explorer en Solid Explorer, om er maar een paar te noemen. Nu blijkt dat iedereen die ES File Explorer gebruikt, elk bestand op afstand van zijn apparaat kan laten stelen door iemand op hetzelfde netwerk. De kwetsbaarheid werd gemeld door de Franse beveiligingsonderzoeker Baptiste Robert, die het online pseudoniem "Elliot Alderson" draagt - een verwijzing naar de hoofdpersoon van het tv-programma Mr. Robot.
De exploit (via TechCrunch) werkt via een poort die op het apparaat wordt geopend wanneer ES File Explorer wordt geopend. In essentie wordt er elke keer dat u de applicatie start, een webserver geopend. Robert schreef een proof of concept Python-script dat verbinding kan maken met een mobiel apparaat waarop de app draait, er verbinding mee kan maken en bestanden van een bepaald type kan weergeven. Vervolgens kan het elk van deze bestanden rechtstreeks vanaf uw telefoon downloaden. Het is een behoorlijk ernstige kwetsbaarheid, omdat iedereen op hetzelfde netwerk een bestand rechtstreeks vanaf je telefoon kan downloaden. Het kan zelfs een app op uw apparaat starten.
Gelukkig hebben de ontwikkelaars van ES File Explorer een verklaring afgegeven AndroidPolitieen het blijkt dat de kwetsbaarheid al is verholpen.
"We hebben het http-kwetsbaarheidsprobleem opgelost en vrijgegeven. Wachten tot de Google-markt de beoordeling doorstaat."
Zodra de update beschikbaar is, raden we alle gebruikers die de applicatie nog gebruiken aan om deze onmiddellijk te updaten.
Update 1: oplossing voor het uitrollen
Versie 4.1.9.9 wordt nu uitgerold in de Play Store met een changelog met de tekst "Repareer http-kwetsbaarheid in LAN." Als u versie v4.1.9.7.4 of lager gebruikt, controleer dan op een update.