Check Point

D’innombrables applications Android toujours vulnerables a un bug majeur, mettant en danger polish hearts des centaines de millions d’utilisateurs. Beaucoup de applications sur le Play Store de Google seront i  nouveau vulnerables a votre bug connu, CVE-2020-8913, qui permet aux acteurs une menace d’injecter du code malveillant dans des applications vulnerables, afin d’acceder a l’ensemble des memes ressources de l’application d’hebergement. Mes acteurs une menace peuvent utiliser les applications vulnerables pour usurper des informations sensibles d’autres applications sur le meme appareil, en volant les informations privees des utilisateurs, telles que des details de connexion, les mots de passe, les details financiers et le courrier.

J’ai faille de securite trouve son origine dans la bibliotheque Play Core de Google, tres utilisee, qui permet a toutes les developpeurs d’integrer des mises a jour ainsi que nouveaux modules de fonctionnalites a leurs applications Android

Google a corrige votre faille en avril 2020, mais les developpeurs eux-memes doivent installer la nouvelle bibliotheque Play Core De sorte i  faire disparaitre totalement la menace Les chercheurs de Check Point ont selectionne au hasard un certain nombre d’applications de premier plan Afin de confirmer l’existence de la vulnerabilite CVE-2020-8913. Vulnerabilite confirmee dans Grindr, Bumble, OKCupid, Cisco Teams, Moovit, Yango Pro, Edge, Xrecorder, PowerDirector Plusieurs chercheurs de Check Point demontrent l’exploitation une vulnerabilite de l’application Google Chrome d’Android

Vue d’ensemble : Une nouvelle vulnerabilite dans la bibliotheque Google Play Core a ete publiee fin aout, qui permet l’execution locale de code (Local-Code-Execution, LCE) dans le contexte de toute application qui utilise la version vulnerable d’une bibliotheque Google Play Core. Dans votre document, nous analysons l’impact et l’ampleur de cette vulnerabilite du avis en securite.

Contexte : Qu’est-ce que Notre bibliotheque Google Play Core ? Tire d’une documentation de developpement Android de Google

J’ai bibliotheque Play Core Library est l’interface d’execution de ce application avec Google Play Store. Voici quelques-unes des actions que vous pouvez effectuer avec Google Play Core : Telecharger des ressources linguistiques supplementaires Gerer la fourniture de modules de fonctionnalites Gerer la fourniture de packs de ressources Declencher des mises a jour dans l’application Demander des avis depuis l’application

Ainsi, la bibliotheque Google Play Core est une passerelle permettant d’interagir au milieu des services Google Play depuis l’application elle-meme, a commencer via le chargement de code dynamique (comme le telechargement de niveaux supplementaires en cas de besoin seulement), la fourniture de ressources localisees specifiques et l’interaction avec les mecanismes d’avis de Google Play.

Facebook et Instagram representent a eux seuls 5 milliards et 1 milliard de telechargements respectivement a ce jour depuis Google Play Store. Imaginez le nombre d’appareils ayant ete touches par cette vulnerabilite.

Qu’est-ce que

OverSecured a deja presente des aspects techniques de votre vulnerabilite. Pour une etude technique plus approfondie, veuillez vous referer a son blog. Un bref apercu : Dans J’ai sandbox de chaque application, il y a deux dossiers : votre pour les fichiers « verifies » recus de Google Play, et un nouvelle Afin de les fichiers « non verifies ». Les fichiers telecharges avec les services Google Play vont dans le dossier verifie, tandis que les fichiers telecharges d’autres sources seront envoyes au dossier non verifie. Lorsqu’un fichier reste ecrit dans le dossier verifie, il interagit avec la bibliotheque Google Play Core qui le charge et l’execute.

Une intention exportee est une autre fonctionnalite qui permet a d’autres sources de pousser des fichiers dans la sandbox de l’application. Il est cependant plusieurs limitations : le fichier est pousse au dossier non verifie, et il n’est nullement directement traite par la bibliotheque. Notre vulnerabilite reside dans la combinaison des deux fonctionnalites mentionnees ci-dessus, ainsi, utilise egalement la traversee de fichiers, un concept aussi vieux qu’Internet lui-meme. Lorsqu’une source tierce pousse un fichier dans une autre application, elle doit fournir un chemin d’acces pour que le fichier puisse etre ecrit. Lorsqu’un pirate utilise la traversee de fichiers (../verified_splits/mon_code_malveillant.apk), le code malveillant est ecrit dans le dossier verifie, et est directement charge dans l’application vulnerable et execute dans le contexte.

Google a corrige votre vulnerabilite le 6 avril 2020

Impact et ampleur : Lorsque nous combinons des applications populaires qui utilisent la bibliotheque Play Core de Google et J’ai vulnerabilite d’execution locale de code, nous pouvons clairement voir les risques. Lorsqu’une application malveillante exploite cette vulnerabilite, elle va executer du code dans des applications populaires et beneficier du meme acces que l’application vulnerable.

Mes possibilites ne semblent limitees que par notre creativite. Voici certains exemples : Injection de code dans des applications bancaires pour s’emparer des identifiants, et en meme moment beneficier des autorisations sur les SMS pour voler nos codes d’authentification a 2 facteurs (2FA). Injection de code dans des applications d’entreprise pour avoir acci?s a toutes les ressources de l’entreprise. Injection de code dans des applications de reseaux sociaux pour espionner la victime, ainsi, se servir de l’acces a la geolocalisation pour suivre l’appareil. Injection de code dans des applications de messagerie instantanee pour capturer l’ensemble des messages, ainsi, eventuellement envoyer des messages au nom une victime.

Comme Notre vulnerabilite a ete corrigee en avril, pourquoi s’inquieter maintenant ? La reponse reste que les developpeurs doivent pousser le correctif dans leurs applications. Contrairement a toutes les vulnerabilites cote serveur, qui peuvent etre entierement corrigees un coup que le correctif reste applique sur le serveur, Afin de des vulnerabilites cote client, chaque developpeur doit utiliser J’ai derniere version d’une bibliotheque et l’inserer dans le application.

Le facteur humain etant l’un des plus difficiles a surmonter en matiere de securite, nous avons decide de determiner quelles applications ont corrige la vulnerabilite et lesquelles sont bien vulnerables, afin d’avoir une meilleure comprehension globale de l’ampleur de la vulnerabilite. Depuis la publication de une telle vulnerabilite, nous avons commence a surveiller les applications vulnerables.

Lors du mois de septembre 2020, 13 % des applications Google Play analysees par SandBlast Mobile utilisaient votre bibliotheque, et 8 % des applications comprenaient une version vulnerable.