Microsoft предупреди потребителите на Android за нова атака, наречена „Dirty Stream“. Тя позволява на злонамерени приложения да презаписват файлове в началната директория на друго приложение. Това от своя страна може да доведе до изпълнение на произволен код и кражба на данни.

Грешката се появява поради неправилно използване на системата на Android за предоставяне на съдържание, която контролира достъпа до структурирани набори от данни, предназначени за споделяне между различни приложения.

Тази система включва мерки за сигурност за изолиране на данни, разрешения за URI и валидиране на пътища, за да предотврати неоторизиран достъп, изтичане на данни и атаки за обхождане на пътища.

Ако са неправилно реализирани, потребителските намерения (Intents), които са обекти за обмен на съобщения, улесняващи споделянето на данни между компонентите в приложенията за Android, могат да заобиколят тези мерки за сигурност.

Атаката „Dirty Stream позволява на злонамерени приложения да изпратят файл с променено име или път на друго приложение, като използват потребителско намерение.

Целевото приложение е подведено да се довери на името или пътя на файла и изпълнява или записва файла в критична директория.

Тази манипулация на потока от данни между две приложения за Android превръща нормална функция на ниво операционна система в опасен инструмент и може да доведе до неоторизирано изпълнение на код, кражба на данни или други злонамерени резултати.

Изследователят от Microsoft Димитриос Валсамарас отбеляза, че подобни некоректни реализации за съжаление са многобройни. Те засягат дори приложения, които са били инсталирани повече от четири милиарда пъти от Google Play.

Сред уязвимите приложения са, наред с много други, файловият мениджър на Xiaomi с повече от един милиард инсталации и офис пакетът WPS с около 500 милиона инсталации. И двете компании вече са закърпили откритите в техния софтуер проблеми.

За да се предотвратят подобни уязвимости в бъдеще, Microsoft е споделила изследванията си с общността на Android разработчиците, а Google е актуализирала насоките си за сигурност на приложенията, за да отрази пропуските. Що се отнася до крайните потребители, те могат да се защитят, като своевременно актуализират приложенията, които инсталират, и избягват изтеглянето на APK файлове от ненадеждни източници.