Google устранила возможность обхода подписи APK-приложений

10/07/2013 11:23

Google выпустил патч, устраняющий уязвимость, затронувшую около 900 млн Android-устройств. Теперь соответствующие обновления должны предоставить своим пользователям производители устройств, на что потребуется время. Корпорация Google выпустила патч, устраняющий уязвимость, обнаруженную специалистами стартапа Bluebox и затронувшую около 900 млн Android-устройств. Как пишет ZDNet, о выпуске патча им сообщила Джина Шильяно (Gina Scigliano), специалист Google по связям с общественностью. Она сказала, что официальное заявление компания Google по этому поводу не делала. Шильяно добавила, что патч, устраняющий уязвимость, уже отправлен партнерам Google, производителям Android-устройств, включая Samsung Electronics, крупнейшего поставщика устройств под управлением данной операционной системы (вендору принадлежит свыше 40% рынка в количественном выражении). В компании добавили, что на сегодняшний день они не зафиксировали случаев эксплуатации уязвимости в Google Play и других каталогах, которые они проверили. Уязвимость была обнаружена Bluebox еще в феврале 2013 г., однако известно о ней стало несколько дней назад. Она позволяет хакеру модифицировать код APK-файла (установочного файла) и превращать в троян любое подлинное приложение, причем это изменение не смогут заметить ни пользователь, ни администраторы каталога, куда это приложение будет загружено, ни само мобильное устройство. Суть уязвимости заключается в возможности менять код приложения без нарушения криптографической подписи, которая прикрепляется к каждой программе для проверки ее подлинности. Уязвимость затронула большое количество устройств, так как содержится во всех версиях Android начиная с Android 1.6 под кодовым именем Donut, которая была выпущена 4 года назад.
Источник