חוקר מגלה: התראות קריאת לוח הגזירים באנדרואיד ניתן להסתיר עם toast מותאמים

חוקר חשף בפומבי שיטה שמסוגלת להסתיר את התראת קריאת לוח הגזירים של Android על ידי הפעלה מהירה של שתי הודעות toast שנוצרו על ידי מפתחים. החשיפה באה לאחר שהחוקר גילה ש-CVE קשור עם חומרה בינונית סומן כ-Won't Fix על ידי צוות האבטחה של Android. הנושא חשוב מכיוון שפרטי גישה מועתקים, כגון סיסמה ששותפה דרך Slack, עשויים להיקרא על ידי יישום אחר בלי שהמשתמש יבחין בהתראה הרגילה.

כיצד העקיפה פועלת

באמצעות אפליקציית בדיקה פשוטה של Android, החוקר הצליח לעקוף את אמצעי האבטחה לקריאת לוח הגזירים. הבדיקה הפעילה במהירות שתי התראות toast שיצר המפתח, שהוצגו במקום ההודעה שהתריעה למשתמש כי תוכן לוח הגזירים נקרא. החוקר התקין לאחרונה את Android Studio ושכפל את מאגר האפליקציה Android Meshtastic בעת ניסיון לתקן באג של חותמת זמן בהתראה, דבר שהותיר את כלי הפיתוח של Android זמינים והוביל לרעיון. לא ניתן היה לשחזר את באג חותמת הזמן בהתראה.

הגנות קיימות ללוח הגזירים ב-Android

תיעוד Secure Clipboard Handling של Google מטיל את האחריות להעתקה בטוחה של תוכן רגיש על מפתחי יישומים. Android תומך בדגל ClipDescription.EXTRA_IS_SENSITIVE או android.content.extra.IS_SENSITIVE, המאפשר למפתחים לטשטש חזותית תצוגות מקדימות של תוכן לוח הגזירים בממשקי מקלדת. בלי אחד מהדגלים הללו, תוקפים יכלו להוציא נתוני רגישים החוצה באמצעות הצצה מעבר לכתף או באמצעות יישומים זדוניים שלוקחים צילומי מסך או מקליטים וידאו בעת פעולתם ברקע. יישום Authenticator של Google משתמש בפונקציונליות זו כאשר קודי אימות מועתקים, כך שאדם קרוב אינו יכול לראות את הסוד כאשר המקלדת נפתחת, אף על פי שערכו נותר קריא ליישומים אחרים. מאז Android 10, גישה ללוח ברקע נאסרה, ויישומים המצלמים את המסך דורשים הרשאה מפורשת בכל פעם, אלא אם יישום ההקלטה חתום עם אותו מפתח כמו מערכת ההפעלה Android. החל מ-Android 12, ברמת API 31, יישום שניגש לנתוני הלוח ומדביק אותם מפעיל הודעת toast המוצגת למשתמש.

שימוש לרעה פוטנציאלי ופקדים מבוקשים

החוקר ציין שמפתחי אפליקציות זדוניים יכלו להשתמש במודיעין ממקורות פתוחים כדי לזהות שם חשבון קשור, או למכור סוד שהועתק כשלעצמו. החוקר הגיש בעבר בקשת תכונה במעקב התקלות של גוגל, וביקש שליטה בגישה ללוח הגזירים עם הרשאות לפי אפליקציה, בדומה להגדרות מיקום או התראות. בקשה זו נבעה מהשקפה שהודעה שנעלמת אוטומטית וקלה להחמצה אינה מספקת עבור פעולה רגישה פוטנציאלית. הבלוג נכתב במקור בסוף יולי 2026, אך הפרסום נדחה עד לפתרון באג על ידי צוות האבטחה של אנדרואיד.

מקורות: toninoble.com