Две трети популярных Android-программ используют дырявые компоненты

Две трети популярных Android-программ используют дырявые компоненты

Две трети популярных Android-программ используют дырявые компоненты

По данным Synopsys, почти все популярные приложения из каталога Google Play Store полагаются на компоненты с открытым исходным кодом. В 63% случаев такой модуль содержит уязвимость — как правило, давно известную.

В контрольную выборку исследователи включили 3335 платных и бесплатных Android-программ разного профиля, пользующихся большим спросом. В этот список вошли игры, банковские клиенты, приложения для знакомств, учебы, занятий фитнесом, управления временем и производительностью.

Анализ показал, что 98% взятых за образец мобильных программ используют opensource-компоненты — в среднем по 20 таких модулей. При этом в 44% случаев это сопряжено с высоким риском из-за незакрытой уязвимости, для которой уже есть рабочий эксплойт.

Совокупно эксперты обнаружили свыше 3000 уникальных уязвимостей, которые повторялись в приложениях более 82 тыс. раз. Почти три четверти брешей были опубликованы больше двух лет назад, а для 94% разработчики уже выпустили заплатки.

Наиболее часто уязвимые компоненты встречались в играх (96% бесплатных и 80% платных образцов), банковских приложениях (88%), приложениях для планирования семейного бюджета (84%) и программах для совершения платежей (80%).

Полученные результаты еще раз доказали необходимость учета такого аспекта, как безопасность, на стадии разработки программных продуктов. Разработчикам приложений следует знать наперечет все используемые ими сторонние модули и регулярно обновлять свой код по выходе патчей.

Кроме уязвимостей, эксперты Synopsys попутно проверили возможность утечки данных в Android-приложениях, а также объем требуемых разрешений. Оказалось, что из-за ошибки разработчиков подвергнутые анализу программы сливают сотни тысяч URL, десятки тысяч IP-адресов и тысячи адресов email, а также более чувствительную информацию — токены OAuth, закрытые ключи RSA, ключи к AWS-сервисам, токены Facebook, Google Cloud и Twilio.

Приложения из контрольной выборки также при установке в среднем запрашивали 18 различных разрешений, в том числе более четырех на доступ к конфиденциальной информации и три таких, которые Google классифицирует как не предусмотренные для сторонних программ. Больше прочих требовали приложения финансового характера — планировщики бюджета, платежные и банковские клиенты; они запрашивали 24 – 26 разрешений.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Kaspersky: Каждый второй компьютер в мире всё ещё работает на Windows 10

«Лаборатория Касперского» выяснила, что каждый второй компьютер в мире до сих пор работает на Windows 10. Среди частных пользователей её используют 51%, а в компаниях показатель ещё выше — почти 60%. Проблема в том, что поддержка «десятки» закончится уже в октябре 2025 года.

На Windows 11 перешли далеко не все: всего 36% частных и 26,5% корпоративных устройств.

А кое-кто продолжает сидеть даже на Windows 7, поддержку которой Microsoft прекратила ещё в 2020-м — это 10% у обычных пользователей и 7% у компаний.

Эксперты предупреждают: использование старых ОС в бизнесе — это серьёзный риск. Они чаще становятся целью атак и могут не дружить с современными программами и средствами защиты. В итоге это грозит сбоями в работе и потерями данных.

Многие тянут с обновлением, потому что не видят в новой системе «реальных плюсов» или боятся изменений в интерфейсе. Но, как отмечает эксперт «Лаборатории Касперского» Олег Горобец, старая ОС без обновлений — это как дом с прогнившим забором, который можно сломать одним ударом.

По его словам, для компаний поддержание актуальности ПО, начиная с операционной системы, должно быть приоритетом. Своевременные апдейты снижают риск взлома и связанных с ним проблем — от кражи данных до финансового и репутационного ущерба. Игнорировать обновления нельзя, даже если у вас стоит надёжное антивирусное решение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru