Android-приложение с миллиардом установок три месяца не получает патч

Android-приложение с миллиардом установок три месяца не получает патч

Android-приложение с миллиардом установок три месяца не получает патч

Популярное Android-приложение, загруженное более миллиарда раз, содержит непропатченную уязвимость, угрожающую безопасности владельцев мобильных устройств. Разработчики уже три месяца не могут подготовить корректное обновление, устраняющее баг.

Речь идёт об Android-версии программы SHAREit, которая позволяет пользователям обмениваться файлами с друзьями и другими устройствами.

Выявленные в приложении уязвимости позволяют удалённо выполнить вредоносный код на мобильных устройствах. Об этом сообщили исследователи из компании Trend Micro, посвятившие проблеме отдельный отчёт.

Основная причина бреши кроется в отсутствии необходимых ограничений на использование кода SHAREit. По словам специалистов, атакующий, установивший в систему вредоносную программу, может отправить вредоносные команды приложению SHAREit, что приведёт к перехвату легитимных функций и запуску произвольного кода.

В результате злоумышленник сможет не только выполнить свой код, но и перезаписать файлы приложения, хранящиеся локально, а также установить сторонний софт без ведома конечного пользователя.

Помимо этого, SHAREit также уязвимо перед атакой вида Man-in-the-Disk, которую эксперты Check Point описали ещё в 2018 году. Суть этой бреши заключается в незащищённом хранилище конфиденциальных данных мобильного приложения.

Тем не менее разработчики SHAREit так и не вышли на связь с обнаружившими уязвимость исследователями. На протяжении трёх месяцев сотрудники Trend Micro пытались достучаться до девелоперов, однако их письма остались без ответа.

МАКС откроет исходный код и разрешит создавать альтернативные клиенты

Мессенджер МАКС готовится приоткрыть двери сторонним разработчикам. Платформа запустит специальную программу и предоставит API для создания альтернативных клиентских приложений — от корпоративных решений до нестандартных пользовательских сценариев.

Присоединиться к «Программе разработчиков МАКС» смогут ИТ-компании из России и дружественных стран.

Однако одного желания написать ещё один МАКС, только удобнее будет недостаточно. Среди ключевых требований — опыт реализации крупных ИТ-проектов и соответствие стандартам безопасности.

Участникам придётся применять практики защищённой разработки, внедрять надёжные механизмы шифрования и проходить аудит кода. Кроме того, компании должны подтвердить, что обладают достаточной технологической экспертизой для защиты пользовательских данных и инфраструктуры.

Прошедшие отбор разработчики получат техническую документацию, дизайн-систему и исходный код официального клиента МАКС. Для подключения к инфраструктуре платформы им также выдадут токен доступа.

Готовые механизмы регистрации пользователей и противодействия мошенничеству обещают предоставить в комплекте — изобретать велосипед с цифровым паспортом не придётся.

При этом вольницы не будет: все сторонние клиенты обязаны соблюдать условия использования API. Видимо, альтернативность разрешат в интерфейсах и сценариях, но не в отношении к безопасности.

Заявки на участие будут принимать на сайте dev.max.ru. Точные сроки запуска программы пока не названы. Если всё заработает по плану, МАКС получит не только официальный клиент, но и целую коллекцию его кастомных родственников.

RSS: Новости на портале Anti-Malware.ru