Разработчикам приложений для Android угрожает уязвимость ParseDroid - «Новости»
Четверг 22 Май 2025
  • :
  • :
Новости мира Интернет » Новости » Разработчикам приложений для Android угрожает уязвимость ParseDroid - «Новости»

Аналитики компании Check Point предупреждают разработчиков приложений для Android, использующих такие инструменты, как APKTool, IntelliJ, Eclipse и Android Studio, о проблеме ParseDroid, затрагивающей библиотеку парсинга XML, входящую в состав данных решений.


В основе ParseDroid лежит классическая XXE-уязвимость (XML External Entity). Дело в том, что во время парсинга файла XML уязвимая библиотека не отключает отсылки к внешним источникам. Таким образом, атакующий в теории может извлечь любой файл из системы жертвы, просто использовав вредоносную версию файла AndroidManifest.xml или задействовав XML по-другому.


Специалисты Check Point подчеркивают, что спрятать вредоносный XML-код можно во множестве разных мест. К примеру, он может быть скрыт внутри файлов AAR (Android Archive Library). К тому же сама экосистема Android устроена таким образом, что разработчики приложений нередко «клонируют» чьи-то чужие приложения или заимствуют из них хотя бы часть кода. Плюс атакующие могут скрыть вредоносный код в составе любых опенсорных решений и библиотек, размещенных на GitHub  или в других популярных репозиториях. В итоге проблема ParseDroid может угрожать тысячам разработчиков.


Авторы APKTool, IntelliJ, Eclipse и Android Studio уже выпустили обновления для своих продуктов, так что всем их пользователям рекомендуется обновиться как можно скорее. Более того, вместе с ParseDroid в составе APKTool  была найдена и устранена еще одна «смежная» уязвимость, позволяющая атакующему выполнить произвольный код в уязвимой системе.


Видеоролик ниже демонстрирует ParseDroid в действии.


Источник новостиgoogle.com
Цитирование статьи, картинки - фото скриншот - Rambler News Service.
Иллюстрация к статье - Яндекс. Картинки.
Есть вопросы. Напишите нам.
Общие правила  поведения на сайте.

Аналитики компании Check Point предупреждают разработчиков приложений для Android, использующих такие инструменты, как APKTool, IntelliJ, Eclipse и Android Studio, о проблеме ParseDroid, затрагивающей библиотеку парсинга XML, входящую в состав данных решений. В основе ParseDroid лежит классическая XXE-уязвимость (XML External Entity). Дело в том, что во время парсинга файла XML уязвимая библиотека не отключает отсылки к внешним источникам. Таким образом, атакующий в теории может извлечь любой файл из системы жертвы, просто использовав вредоносную версию файла AndroidManifest.xml или задействовав XML по-другому. Специалисты Check Point подчеркивают, что спрятать вредоносный XML-код можно во множестве разных мест. К примеру, он может быть скрыт внутри файлов AAR (Android Archive Library). К тому же сама экосистема Android устроена таким образом, что разработчики приложений нередко «клонируют» чьи-то чужие приложения или заимствуют из них хотя бы часть кода. Плюс атакующие могут скрыть вредоносный код в составе любых опенсорных решений и библиотек, размещенных на GitHub или в других популярных репозиториях. В итоге проблема ParseDroid может угрожать тысячам разработчиков. Авторы APKTool, IntelliJ, Eclipse и Android Studio уже выпустили обновления для своих продуктов, так что всем их пользователям рекомендуется обновиться как можно скорее. Более того, вместе с ParseDroid в составе APKTool была найдена и устранена еще одна «смежная» уязвимость, позволяющая атакующему выполнить произвольный код в уязвимой системе. Видеоролик ниже демонстрирует ParseDroid в действии. Источник новости - google.com

0

Смотрите также

А что там на главной? )))



Комментарии )))