В популярных средах разработки для Android найдены серьезные уязвимости

В популярных средах разработки для Android найдены серьезные уязвимости

В популярных средах разработки для Android найдены серьезные уязвимости

Разработчикам, использующим Android Studio, Eclipse и IntelliJ IDEA, рекомендуется обновить свои среды разработки (IDE) с целью устранения серьезных уязвимостей, которые легко использовать.

Бреши, обнаруженные Check Point в мае этого года, были обнародованы только 4 декабря. Изначально четыре исследователя Check Point искали недочеты в APKTool, приложении для обратной разработки, и нашли ошибку в XML External Entity (XXE).

«Разработанный XML-парсер не отключает ссылки external entity при анализе XML-файла в программе», — писали эксперты, отмечая, что ошибка затронула как функцию «Build», так и «Decompile», атакуемые с использованием вредоносного файла AndroidManifest.xml.

«Понимая всю серьезность обнаруженной уязвимости для сообщества разработчиков Android, мы продолжили наши исследования, перейдя к XML-парсеру под названием DocumentBuilderFactory, используемом в проекте APKTool», — продолжают исследователи.

На масштабность проблемы влияет тот факт, что этот парсер используется в интегрированных средах разработки Eclipse, IntelliJ и Android Studio.

Как утверждают эксперты, для успешной атаки злоумышленникам потребуется только вредоносный файл манифеста XML. Более того, атакующие могут внедрить вредоносную библиотеку AAR (Android Archive Library), содержащую полезную нагрузку XXE в репозитории.

Эксперты Check Point опубликовали видео, в котором показана суть атаки.

Стоит отметить, что была обнаружена еще одна уязвимость в APKTool, позволившая исследователям внедрить вредоносный код на компьютер жертвы, манипулируя конфигурационным файлом APKTOOL.YML.

Банковские карты россиян возьмут на карандаш

Банк России взялся за год создать единый реестр платежных карт с тем, чтобы облегчить кредитно-финансовым организациям соблюдение планируемых к вводу лимитов: до 20 карт у гражданина, до пяти в одном банке.

О намерении ЦБ запустить в будущем году такой справочник для отрасли стало известно из выступления в Думе замглавы Минцифры Ивана Лебедева. С его слов, оба регулятора вместе прорабатывали этот вопрос.

«Вы знаете, что это ограничение по банкам — по картам, — цитирует РИА Новости спикера. — Центральный банк взял на себя обязательство в течение года подготовить базу единую по всей стране, из которой будет видно, сколько у каждого гражданина в каком банке оформлено карт.

В конце прошлого года в Госдуму был внесен второй пакет законопроектов в рамках борьбы с кибермошенничеством. В числе прочих мер противодействия было предложено ограничить число банковских карт — до 20 на человека, не более пяти одного и того же эмитента.

Для контроля соблюдения этого требования, способного сдержать рост числа дропов, планировалось запустить специальный сервис.

Напомним, дропперство в России является уголовно наказуемым деянием. Пособникам в проведении мошеннических операций грозит до трёх лет лишения свободы, организаторам схемы — до шести лет.

RSS: Новости на портале Anti-Malware.ru