Facebook i Google mają poważne luki w zabezpieczeniach
Zespół Check Point Research badając popularne programy mobilne odkrył, że wiele aplikacji ze sklepu Google Play, w tym Facebook oraz WeChat, są podatne na znane od dawna rodzaje ataków. Podatności te mogą umożliwić atakującemu kradzież danych aplikacji i zdobycie uprawnień systemowych, które posiada dana aplikacja, takich jak np. rozpoznanie lokalizacji użytkownika. W przypadku wykorzystania luk, zagrożone byłyby setki milionów użytkowników!
Większość użytkowników mobilnych martwi się podatnościami zawartymi w systemach operacyjnych ich urządzeń, które mogą sprawić, że atakujący całkowicie przejmie kontrolę nad ich komórkami oraz podatnościami typu zero-day, które nie zostały jeszcze załatane przez dostawców oprogramowania. Powszechnie sądzi się, że gdy tylko podatność zostanie odkryta, jest natychmiastowo łatana, przez co regularne aktualizowanie systemu operacyjnego i aplikacji pozwala na zachowanie bezpieczeństwa swojego urządzenia mobilnego.
Jednak Check Point Research pokazuje, że nawet dawno załatane podatności mogą być krytycznie ważne, ze względu na to, że nieaktualny kod może znaleźć się nawet w najbardziej popularnych aplikacjach.
Popularna aplikacja mobilna składa się zwykle z wielu „reużywalnych” komponentów napisanych w niskopoziomowym języku takim jak C. Komponenty te, zwane natywnymi bibliotekami, są często oparte na open sourcowych projektach lub zawierają fragmenty kodu z tego typu projektów.
Gdy podatność zostaje znaleziona w projekcie, jest ona łatana, ale jego autorzy zwykle nie mają kontroli nad natywnymi bibliotekami, których może ona również dotyczyć, ani nad aplikacjami, które korzystają z tych bibliotek – piszą na swoim blogu analitycy Check Point Research.
W ten sposób aplikacja może posiadać niezałataną wersję kodu nawet przez wiele lat po wykryciu podatności. Określenie takiej aplikacji jako podatnej może być określeniem na wyrost, gdyż w trakcie wykonywania programu niezałatany kod może nigdy nie zostać użyty, ale tak czy inaczej autorzy aplikacji powinni się bliżej przyjrzeć tego typu przypadkom.
Aby zweryfikować hipotezę, że dawno odkryte podatności mogą być obecne nawet w ostatnio publikowanych aplikacjach na Google Play, Check Point Research przeskanował je według wzorca opartego na podatnych wersjach kodu open source. Trzy krytyczne luki w zabezpieczeniach zostały odnalezione w setkach popularnych aplikacji na Androida, w tym Yahoo Browser, Facebook czy WeChat.
Tylko trzy podatności, wszystkie załatane ponad dwa lata temu, powodują, że setki aplikacji mogą być potencjalnie podatne na zdalne wykonanie kodu. Można sobie wyobrazić jak wiele popularnych aplikacji może wziąć na cel haker, jeżeli przeskanuje Google Play pod kątem setek znanych podatności!
Posiadając urządzenia mobilne, zazwyczaj zdajemy sobie sprawę, jak ważne jest regularne aktualizowanie systemu operacyjnego i zainstalowanych aplikacji. Zaskakuje fakt, że ten środek zaradczy jest niewystarczający, ponieważ autorzy aplikacji nie wprowadzają poprawek bezpieczeństwa w nowych wersjach swoich programów. Śledzenie wszystkich poprawek we wszystkich komponentach, z których składa się złożona aplikacja jest żmudnym zadaniem, więc nie dziwne, że jedynie niektórzy twórcy poświęcają temu czas. Sklepy z aplikacjami i badacze bezpieczeństwa aktywnie skanują aplikacje, ale mniej uwagi poświęcają starszym podatnościom. Niestety, oznacza to, że użytkownik końcowy niewiele może zrobić, aby zapewnić bezpieczeństwo na swoim urządzeniu mobilnym – twierdzą specjaliści Check Point Research.
Pełna analiza dostępna jest pod linkiem
mw
