Эксперты Microsoft обнаружили новую технику атаки под названием Dirty Stream, которая позволяет вредоносным приложениям для Android перезаписывать файлы в домашних директориях других приложений. Уязвимость позволяет злоумышленникам выполнять на устройствах жертв произвольный код и красть из них различную информацию. Проблема затрагивает по меньшей мере пользователей приложений Xiaomi File Manager и WPS Office, которые имеют более 1,5 млрд установок. Об этом сообщает издание BleepingComputer.
Уязвимость связана с некорректным использованием системы Content Provider в Android, которая управляет безопасным доступом к структурированным данным, предназначенным для совместного использования различными приложениями. Данная система использует защитные меры, но их можно обойти путем некорректной имплементации кастомных намерений (intent), например использованием невалидированных имен файлов и путей в намерениях.
Атака Dirty Stream позволяет вредоносным приложениям отправлять файл с подмененным именем, используя пользовательское намерение. В результате целевое приложение выполняет или сохраняет файл в критически важном каталоге.
По словам исследователя Димитриоса Валсамараса, таких некорректных имплементаций очень много, и они затрагивают приложения, установленные более чем на четырех миллиардах устройств.
Microsoft сообщила об этой уязвимости разработчикам двух приложений: Xiaomi File Manager и WPS Office. Сообщается, что в обоих случаях разработчики оперативно отреагировали на предупреждение и внедрили исправления для снижения рисков.
