Гигант за сајбер безбедност Тренд Мицро открио је очигледне безбедносне пропусте у апликацији СхареИт на Андроид-у које доводе ваше осетљиве податке у опасност.
Ако користите апликацију СхареИт на свом телефону, можда ћете желети да је одмах деинсталирате. Гигант сајбер безбедности Тренд Мицро је открио очигледне безбедносне пропусте у апликацији за дељење датотека које могу бити „злоупотребљено за цурење осетљивих података корисника и извршавање произвољног кода са СхареИт дозволама."
У а извештај о томе, Тренд Мицро је открио (преко Арс Тецхница) да СхареИт има приступ безбројним дозволе на Андроид-у због функционалности које нуди. Апликација може да приступи целом складишту и свим медијима, да користи камеру и микрофон, приступи информацијама о локацији и још много тога. Може чак и да брише друге апликације, покреће при покретању, креира налоге и поставља лозинке. Штавише, СхареИт такође има потпун приступ мрежи. Због ове опсежне листе дозвола, компромитовање апликације може помоћи нападачима да добију скоро потпун приступ вашем телефону и свим вашим осетљивим информацијама. Такође омогућава нападачима да даљински извршавају злонамерни код.
Разрађујући једну од рањивости, Арс Тецхница открива да СхареИт има један уобичајена рањивост Андроид апликације који нападачима може дати приступ за читање/писање свим његовим датотекама. У публикацији се наводи: „Андроид се поноси комуникацијом унутар апликације, делом зато што свака апликација може да креира добављача садржаја и да свој садржај и услуге пружи другим апликацијама. Ако Гмаил жели да приложи датотеку е-поруци, то може учинити тако што ће показати листу доступних добављача садржаја датотека инсталираних на вашем телефону (то је у основи дијалошки оквир „отвори са“), а корисник може да изабере свој омиљени менаџер датотека, да се креће кроз складиште и проследи датотеку коју жели да Гмаил. На програмерима је да санирају ове могућности унакрсних апликација и изложе само неопходне могућности менаџера датотека Гмаил-у и другим апликацијама."
Међутим, програмери који стоје иза СхареИт-а нису много размишљали о томе да ограниче могућности пружаоца садржаја апликације, што нападачима може дати приступ свим датотекама у СхареИтовом „приватном“ директоријуму. У ствари, ова рањивост омогућава нападачима да позову СхареИ-овог провајдера садржаја фајлова и проследе му путању до датотеке да би добили приступ свим његовим датотекама са подацима. Ово омогућава апликацијама трећих страна да уређују податке које СхареИт користи за покретање, укључујући кеш меморију апликација генерисану током инсталације и извођења. Тренд Мицро тврди да је „нападач може да направи лажну датотеку, а затим да замени те датотеке преко горе поменуте рањивости да би извршио извршавање кода.“
Пошто СхареИт такође садржи инсталатер Андроид апликација, он је такође подложан нападу „Човек у диску“. Због горе поменуте рањивости, нападачи имају могућност да замене инсталационе пакете са злонамерном апликацијом чим се преузму. Ово би могло да наведе кориснике да несвесно инсталирају злонамерне апликације на своје уређаје. Штавише, СхареИтова продавница игара има могућност преузимања података апликације преко необезбеђеног ХТТП-а. Ово може бити предмет напада „Човек у средини“. Као Арс Тецхница објашњава, „СхареИт се региструје као руковалац за било коју везу која завршава његове домене, као што су „всхареит.цом“ или „гсхаре.цдн.схареитгамес.цом“, и аутоматски ће се појавити када корисници кликну на везу за преузимање. Већина апликација присиљава сав саобраћај на ХТТПС, али СхареИт не. Цхроме ће искључити ХТТП саобраћај за преузимање, тако да би то требало да се уради преко веб интерфејса који није главни претраживач."
Тренд Мицро је већ пријавио пропусте СхареИт-у, али његови програмери до сада нису објавили ниједну закрпу за решавање проблема. Препоручујемо да деинсталирате апликацију док програмери не издају исправку. До тада, можете користити Гоогле-ове Апликација Филес за све ваше локалне потребе за дељењем датотека.
Цена: бесплатно.
4.2.