Разработчикам приложений для Android угрожает уязвимость ParseDroid

Аналитики компании Check Point предупреждают разработчиков приложений для Android, использующих такие инструменты, как APKTool, IntelliJ, Eclipse и Android Studio, о проблеме ParseDroid, затрагивающей библиотеку парсинга XML, входящую в состав данных решений.

В основе ParseDroid лежит классическая XXE-уязвимость (XML External Entity). Дело в том, что во время парсинга файла XML уязвимая библиотека не отключает отсылки к внешним источникам. Таким образом, атакующий в теории может извлечь любой файл из системы жертвы, просто использовав вредоносную версию файла AndroidManifest.xml или задействовав XML по-другому.

Специалисты Check Point подчеркивают, что спрятать вредоносный XML-код можно во множестве разных мест. К примеру, он может быть скрыт внутри файлов AAR (Android Archive Library). К тому же сама экосистема Android устроена таким образом, что разработчики приложений нередко «клонируют» чьи-то чужие приложения или заимствуют из них хотя бы часть кода. Плюс атакующие могут скрыть вредоносный код в составе любых опенсорных решений и библиотек, размещенных на GitHub или в других популярных репозиториях. В итоге проблема ParseDroid может угрожать тысячам разработчиков.

Авторы APKTool, IntelliJ, Eclipse и Android Studio уже выпустили обновления для своих продуктов, так что всем их пользователям рекомендуется обновиться как можно скорее. Более того, вместе с ParseDroid в составе APKTool была найдена и устранена еще одна «смежная» уязвимость, позволяющая атакующему выполнить произвольный код в уязвимой системе.

Видеоролик ниже демонстрирует ParseDroid в действии.

Источник