V Androide vážna chyba, weby môžu kradnúť Vaše dáta

Značky: Androidbezpečnosť

DSL.sk, 17.9.2014

V štandardnom webovom prehliadači Android Browser pre mobilný operačný systém Android, ktorý bol predinštalovaný ako štandardný v nižších verziách ako aktuálnej 4.4, sa nachádza vážna bezpečnostná zraniteľnosť umožňujúca ľubovoľnej webovej stránke pristupovať k dátam z iných webových stránok navštevovaných užívateľom.

Zraniteľnosť CVE-2014-6041 objavil Rafay Baloch.

Pre eliminovanie útokov realizovaných škodlivým kódom podvrhnutým na stránkach moderné prehliadače aplikujú tzv. Same Origin Policy, SOP, ktorá dovoľuje JavaScript kódu prístup k dátam len z rovnakej domény z akej pochádza JavaScript.

V Android Browser sa ale nachádza zraniteľnosť, ktorá umožňuje kontrolu SOP obísť jednoduchým použitím znaku s kódom nula pred reťazcom realizujúcim prístup. Škodlivý kód na útočníkom podvrhnutej stránke si tak môže následne otvoriť v IFRAME inú ľubovoľnú stránku a pristupovať k jej cookies ale tiež priamo obsahu.

Ak užívateľ tak pomocou prehliadača otvára iné stránky, kde sa prihlasuje, kde sa zobrazujú jeho dáta a ku ktorým je jeho prihlásenie ešte aktívne, kód môže získať prístup k dátam zobrazovaným na týchto stránkach, realizovať akcie nevyžadujúce ďalšiu autentifikáciu alebo jednoducho vziať cookies umožňujúce prevziať prihlásenie užívateľa a odoslať ich útočníkovi.

Zariadenia s verziami Androidu pred 4.4 často používajú Android Browser ako štandardný predinštalovaný webový prehliadač, prípadne využívajú prehliadač postavený na Android komponente WebView, v ktorom sa zraniteľnosť podľa dostupných informácií rovnako nachádza. Keďže predinštalovaný prehliadač sa väčšinou aktualizuje len aktualizáciou firmvéru, na týchto zariadeniach je odporúčané začať používať alternatívny prehliadač nevyužívajúci WebView, napríklad Chrome.

Navyše zraniteľnosť je potenciálne možné zneužiť aj v aplikáciách, ktoré využívajú komponent WebView na zobrazovanie obsahu podvrhnuteľného užívateľom. Dopady takéhoto zneužitia ale samozrejme závisia na tom, aký iný webový obsah pomocou WebView aplikácia zobrazuje a akým spôsobom.




Najnovšie články:



Diskusia:

string\\0 Od: stoneage | Pridané: 17.9.2014 10:38 to jak sa im podarilo v jave? Odpovedať Známka: -9.2 Hodnotiť:

Re: string\\\\0 Od: Murkoslav | Pridané: 17.9.2014 10:40 Javascript nie je Java. Odpovedať Známka: 8.3 Hodnotiť:

Re: string\\\\\\\\0 Od: kubooooo | Pridané: 17.9.2014 11:38 On myslis motorku asi. Odpovedať Známka: 8.9 Hodnotiť:

Re: string\\\\\\\\\\\\\\\\0 Od: huanggg | Pridané: 17.9.2014 11:40 Zidan Odpovedať Známka: 6.0 Hodnotiť:

Re: string\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\0 Od: waveeee | Pridané: 17.9.2014 11:59 šak ty viéeeeš Odpovedať Známka: 2.9 Hodnotiť:

Re: string Od: 5eter | Pridané: 17.9.2014 12:36 Ja nevjem uš. Odpovedať Známka: 6.0 Hodnotiť:

Re: string Od: rezerz | Pridané: 17.9.2014 12:52 "motorko" Odpovedať Známka: 8.3 Hodnotiť:

Re: string Od: Alino: | Pridané: 17.9.2014 18:24 "a vies aky windows teraz vide?" "Děveť" "ta ty viees!" Odpovedať Známka: 5.0 Hodnotiť:

Re: string\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\0 Od: kubooooo | Pridané: 17.9.2014 12:43 :D Davida som nemyslel, ten je za zenitom. Odpovedať Známka: 5.0 Hodnotiť:

Re: string\\\\0 Od: mif | Pridané: 17.9.2014 10:49 java to je inak naoko, vnutri to ma normalne C, mozes kodit aj nativne - Android NDK Odpovedať Známka: 5.0 Hodnotiť:

Re: string\\\\\\\\0 Od: megatron9000 | Pridané: 17.9.2014 14:40 je to primarne java, staci si precitat hned druhy odstavec ... Before downloading the NDK, you should understand that the NDK will not benefit most apps. As a developer, you need to balance its benefits against its drawbacks. Notably, using native code on Android generally does not result in a noticable performance improvement, but it always increases your app complexity. In general, you should only use the NDK if it is essential to your app—never because you simply prefer to program in C/C++. Odpovedať Známka: 10.0 Hodnotiť:

Re: string\\\\0 Od: fdsir | Pridané: 17.9.2014 11:37 Urcite nie v Jave, kazdy vie, ze vsetky virusy su pisane v DC++ Odpovedať Známka: 7.8 Hodnotiť:

Re: string\\\\\\\\0 Od reg.: raketa | Pridané: 18.9.2014 12:54 ja mam skor pocit, ze vsetky virusy su pisane pre Android, neustale citam "V Androide vazna chyba", aspon raz tyzdenne... Odpovedať Známka: 3.3 Hodnotiť:

Re: string\\\\0 Od: JavaMotorko | Pridané: 18.9.2014 16:12 Java haha. V marci sa vsetci javisti tesili ze maju lambda vyrazy. Take ake si ja pisem od roku 2007. Automaticke properties? Stale nic? A co Expression Trees nic? Ako v tom vobec niekto moze programovat. Odpovedať Hodnotiť:

omfgf Od reg.: Sv. Ignác z Lojoji | Pridané: 17.9.2014 10:41 zlaté wapko na n3330, aaaach jaj Odpovedať Známka: 7.5 Hodnotiť:

Re: omfgf Od: srthrsh | Pridané: 17.9.2014 11:34 2 koruny za minútu :D Odpovedať Známka: 10.0 Hodnotiť:

Re: omfgf Od: chuj | Pridané: 17.9.2014 17:23 a ked si mal kredit nejakych od 20 - 50 halierov a pripojil si sa na WAP tak si mohol surfovat dokial si sa sam neodpojil. Kredit nesiel do minusu ... vyuzival som tento bug strasne dlho :-D Odpovedať Známka: 10.0 Hodnotiť:

Re: omfgf Od: srthrsh | Pridané: 17.9.2014 18:12 Staré dobré časy :) Odpovedať Známka: 10.0 Hodnotiť:

ovecka c 76436533 Od: dikitalny janicko | Pridané: 17.9.2014 10:41 esteze mam Apple a toto sa mi stat nemoze Odpovedať Známka: -5.4 Hodnotiť:

Re: ovecka c 76436533 Od: vxcxy | Pridané: 17.9.2014 10:43 nemoze ale tu by som sa tym nechvalil lebo ta ukamenuju :D Odpovedať Známka: 0.0 Hodnotiť:

Re: ovecka c 76436533 Od: zzzzaaaaa | Pridané: 17.9.2014 10:44 nekuvikaj Odpovedať Známka: -1.8 Hodnotiť:

Re: ovecka c 76436533 Od: MAJAK - neregistrovany | Pridané: 17.9.2014 10:46 nech ma kazdy co chce :) netreba zas z principu kazdemu len nadavat za to ze inaksi.. Odpovedať Známka: 9.0 Hodnotiť:

Re: ovecka c 76436533 Od: MAJAK - neregistrovany | Pridané: 17.9.2014 10:46 ...a podotykam ze ja osobne apple nejak extra nemusim Odpovedať Známka: 6.9 Hodnotiť:

Re: ovecka c 76436533 Od: karolkok | Pridané: 17.9.2014 13:14 esteze mam BB a toto sa mi stat nemoze Odpovedať Známka: -6.7 Hodnotiť:

Re: ovecka c 76436533 Od: chuj | Pridané: 17.9.2014 17:25 este ze mam nokiu 3310 a toto sa mi stat nemoze, a tiez sa mi nestane aby som nabijal mobil kazdy vecer Odpovedať Známka: 7.5 Hodnotiť:

Re: ovecka c 76436533 Od: matkoooo | Pridané: 17.9.2014 21:01 to sa mi nestane ani s novou nokiou L820, bežná výdrž 4-5 dní, toľko nemala ani stará 6300 (veď mala aj polovičnú batériu) Odpovedať Známka: 3.3 Hodnotiť:

Android Browser Od: janci vanci | Pridané: 17.9.2014 10:45 To kto, preboha, pouziva Android Browser ??? Odpovedať Známka: -2.6 Hodnotiť:

Re: Android Browser Od: trollssd | Pridané: 17.9.2014 10:48 fakt si myslis ze vsetci si tam okamzite po zakupeni telefonu nainstaluju chrome alebo AKA najlepsiu operu? velmi vela ludi v zivote ani google market nezaplo Odpovedať Známka: 8.1 Hodnotiť:

Re: Android Browser Od: jankokamas | Pridané: 17.9.2014 10:59 Ale prosim ta. Sak musia nainstalovat fasabook, a tam im hned ponukne v ramci reklam nainstalovat super najsamfasalepsiu aplikaciu na vycistenie telefonu a este viac najsamfasamegauber aplikaciu na predlzenie zivotnosti baterky telefonu. ;-) Odpovedať Známka: -2.6 Hodnotiť:

Re: Android Browser Od: Internet Explorer | Pridané: 17.9.2014 18:41 Skôr to bude ako s Internet Explorer-or. Keď ho používalo 90% ľudí, bol najderavejší. Odpovedať Známka: 3.3 Hodnotiť:

Re: Android Browser Od reg.: roob_ | Pridané: 17.9.2014 19:22 opera bola prva aplikacia co som do telefonu nainstaloval po vybaleni... Odpovedať Známka: -3.3 Hodnotiť:

Re: Android Browser Od: kapustaa | Pridané: 17.9.2014 11:41 ja osobne mam taku skusenost ze android browser renderuje stranky na slabych telefonoch rychlejsie ako v chrome Odpovedať Známka: 9.0 Hodnotiť:

Re: Android Browser Od: chuj | Pridané: 17.9.2014 17:25 ja pouzivam default browser ... Odpovedať Známka: 10.0 Hodnotiť:

dfgdfgdfg Od: gdfgdfg | Pridané: 17.9.2014 11:03 asi nejde len o prehliadac, lebo webView je jadro systemu, na ktorom bezia prakticky vsetky aplikacie co robia nieco online, tj snazia sa zobrazovat webstranky interne. kedze vacsina applikacii (okrem hier) je postavena na html5 renderovani a teda webView je v tomto pripade pouzita. znamena to, ze sa da pristupovat aj k datam z inych applikacii, nie len aktualne otvorenym strnakam? Odpovedať Známka: 9.0 Hodnotiť:

Re: dfgdfgdfg Od: Chvhkttdgj | Pridané: 17.9.2014 13:43 Neda sa, lebo je to ina webView instancia. Odpovedať Známka: 10.0 Hodnotiť:

dsada Od reg.: ccccc | Pridané: 17.9.2014 11:55 Android .. stale nerozumiem motivacii ludi, kupovat si tento jeden velky, zle napisany reklamny banner Odpovedať Známka: -0.8 Hodnotiť:

Re: dsada Od: nemam a nebudem mat | Pridané: 17.9.2014 12:00 co je podla teba najmensie zlo ? Obzeram sa po novom telefone moje HTC desire uz nejako blbne. Celkom ma laka windows mobile, ale nikdy som to nemal v ruke tak nemam s nim skusenosti. BB mame doma, sikovny telefon no moc mi nevonia. iphone nezaplatim aj ked by som nan pristupil.Android je vo vsetkom ostatnom :D Odpovedať Známka: 6.7 Hodnotiť:

Re: dsada Od: fdsasf | Pridané: 17.9.2014 12:04 iphone 4S sa da bezne zohnat za 300 ak nepotrebujes velky ulozny priestor. Na WP nie su poriadne aplikacie, sice mnozstvo stale rastie ale kvalita nie. Najlepsie co mozes teraz urobit kupit iphone 5 a vydrzi ti aspon 3 roky. Cokolvek lacne s androidom by si po roku aj tak chcel vymenit. Odpovedať Známka: -6.5 Hodnotiť:

Re: dsada Od: rodriguez | Pridané: 17.9.2014 12:08 prosim vas, uz je nacase prestat tarat o nedostatku aplikacii na WP... Odpovedať Známka: 5.3 Hodnotiť:

Re: dsada Od: xcvxc | Pridané: 17.9.2014 13:41 Priznavam ze nemam cerstve informacie ked som tuto platformu opustal pred 3 mesiacmi. Mozno je uz vsetko inak moja chyba. Odpovedať Známka: 0.0 Hodnotiť:

Re: dsada Od: Alino: | Pridané: 17.9.2014 18:28 WP este zije? Odpovedať Známka: 3.3 Hodnotiť:

Re: dsada Od: nápoje | Pridané: 18.9.2014 21:03 jasne, vole Odpovedať Hodnotiť:

Re: dsada Od reg.: SedyMrak | Pridané: 17.9.2014 22:57 To myslíš vážne? Odporúčaš mu 3r starý telefón za ktorý má dať 300 eur? Odpovedať Známka: 5.0 Hodnotiť:

Re: dsada Od: lkjhgfdsadffgh25845964 | Pridané: 17.9.2014 14:16 SGS3 za 200 eur + Cyanogenmod (android 4.4.4) Odpovedať Známka: 2.0 Hodnotiť:

Re: dsada Od: Linuxak | Pridané: 17.9.2014 12:16 Ty si kokot. Myslis si ze iOS chyby nema? Odpovedať Známka: 1.3 Hodnotiť:

Re: dsada Od: nnnbv | Pridané: 17.9.2014 13:42 a spominal iOS ? Ale chytil si sa Odpovedať Známka: 3.3 Hodnotiť:

Re: dsada Od: huhulak | Pridané: 17.9.2014 15:26 ked picuje kokot vzdy ma na to dovod dojebe ta hravo sak ma na to pravo Odpovedať Známka: 4.5 Hodnotiť:

Re: dsada Od: bukvičky | Pridané: 18.9.2014 21:15 lepsie by to nedali ani rapperi z petrzky, alebo rozumberka Odpovedať Známka: 10.0 Hodnotiť:

xxxxx Od reg.: Harris1 | Pridané: 17.9.2014 12:10 Welcome to the world of Android! Odpovedať Známka: -2.2 Hodnotiť:

endrojd divajsis Od: bradavki | Pridané: 18.9.2014 21:01 ten android je fakt nejaky deravucky, teraz budem kupovat novy foun a asi to bude na 99% windows phone. Vsak aspon raz do tyzdna sa objavi nejaky android-neduh. Odpovedať Známka: 3.3 Hodnotiť:

Pridať komentár