Tədqiqatçı: Android bufer oxuma xəbərdarlıqları xüsusi toast bildirişləri ilə gizlədilə bilər

Tədqiqatçı, iki proqramçı tərəfindən yaradılmış toast bildirişini sürətlə işə salmaqla Android-in bufer oxuma xəbərdarlığını gizlədə bilən bir üsulu ictimaiyyətə açıqladı. Açıqlama, əlaqəli Orta dərəcəli CVE-nin Android Təhlükəsizlik Komandası tərəfindən «Won't Fix» kimi işarələndiyini öyrəndikdən sonra edildi. Məsələ ona görə vacibdir ki, Slack vasitəsilə paylaşılmış parol kimi kopyalanmış etimadnamələr istifadəçinin adi xəbərdarlığı hiss etmədən başqa bir tətbiq tərəfindən oxuna bilər.

Yan keçmə necə işləyir

Sadə Android test tətbiqi istifadə edərək tədqiqatçı bufer oxuma təhlükəsizlik tədbirini keçə bildi. Test istifadəçiyə bufer məzmununun oxunduğunu bildirən mesajın əvəzinə görünən iki proqramçının yaratdığı toast bildirişini sürətlə işə saldı. Tədqiqatçı yaxınlarda Android Studio quraşdırmış və bildiriş vaxt möhürü xətasını düzəltməyə çalışarkən Android Meshtastic tətbiq repozitoriyasını fork etmişdi; bu da Android inkişaf alətlərini əlçatan qoydu və ideyanı ortaya çıxardı. Bildiriş vaxt möhürü xətası təkrar yaradıla bilmədi.

Mövcud Android bufer qorunmaları

Google-un Secure Clipboard Handling sənədləri həssas məzmunun təhlükəsiz kopyalanması məsuliyyətini tətbiq proqramçılarının üzərinə qoyur. Android ClipDescription.EXTRA_IS_SENSITIVE və ya android.content.extra.IS_SENSITIVE bayrağını dəstəkləyir; bu, proqramçılara klaviatura interfeyslərində bufer məzmununun önizləmələrini vizual şəkildə gizlətməyə imkan verir. Bu bayraqlardan biri olmadıqda hücumçular həssas məlumatları çiyin üstündən izləmə və ya arxa fonda işləyərkən ekran görüntüsü alan və ya video çəkən zərərli tətbiqlər vasitəsilə çıxara bilərlər. Google Authenticator tətbiqi kodlar kopyalananda bu funksionallıqdan istifadə edir, ona görə klaviatura açılanda yaxınlıqdakı şəxs sirri görə bilmir, hərçənd dəyər digər tətbiqlər üçün oxunaqlı qalır. Android 10-dan etibarən arxa fonda buferə giriş qadağan edilib və ekranı çəkən tətbiqlər hər dəfə açıq icazə tələb edir, qeydəalma tətbiqi Android əməliyyat sistemi ilə eyni açarla imzalanmayıbsa. Android 12-dən başlayaraq, API səviyyəsi 31-də, bufer məlumatına giriş əldə edib onu yapışdıran tətbiq istifadəçiyə göstərilən toast mesajını işə salır.

Potensial sui-istifadə və tələb olunan nəzarətlər

Tədqiqatçı qeyd etdi ki, zərərli tətbiq proqramçıları açıq mənbə kəşfiyyatından istifadə edərək əlaqəli hesab adını müəyyən edə və ya kopyalanmış sirri ayrıca sata bilərlər. Tədqiqatçı əvvəlcə Google IssueTracker-də Məkan və ya Bildiriş parametrlərinə bənzər tətbiqə görə icazələrlə buferə giriş nəzarəti istəyən funksiya tələbi açmışdı. Bu tələb avtomatik bağlanan və asanlıqla gözə dəyməyən toast bildirişinin potensial həssas əməliyyat üçün kifayət etmədiyi fikrindən irəli gəlirdi. Blog əvvəlcə 2026-cı ilin iyul ayının sonunda yazılmışdı, lakin nəşr Android Təhlükəsizlik Komandasının xəta həllini gözləyərək təxirə salınmışdı.

Mənbələr: toninoble.com