Дослідник: сповіщення про читання буфера обміну в Android можна приховати користувацькими toast-сповіщеннями

Дослідник публічно розкрив спосіб, який може приховати сповіщення Android про читання буфера обміну, швидко запускаючи два створені розробником toast-сповіщення. Розкриття відбулося після того, як дослідник дізнався, що пов'язаний CVE середньої серйозності було позначено Android Security Team як Won't Fix. Питання важливе, оскільки скопійовані облікові дані, наприклад пароль, надісланий через Slack, може прочитати інший застосунок без того, щоб користувач помітив звичайне сповіщення.

Як працює обхід

За допомогою простого тестового застосунку для Android дослідник зміг обійти заходи безпеки читання буфера обміну. Тест швидко запускав два створені розробником toast-сповіщення, які відображалися замість повідомлення, що попереджає користувача про читання вмісту буфера обміну. Дослідник нещодавно встановив Android Studio і форкнув репозиторій застосунку Android Meshtastic, намагаючись виправити помилку з міткою часу сповіщення, що залишило інструменти розробки для Android доступними і підказало ідею. Помилку з міткою часу сповіщення не вдалося відтворити.

Існуючі заходи захисту буфера обміну в Android

Документація Google Secure Clipboard Handling покладає відповідальність за безпечне копіювання чутливого вмісту на розробників застосунків. Android підтримує прапорець ClipDescription.EXTRA_IS_SENSITIVE або android.content.extra.IS_SENSITIVE, який дозволяє розробникам візуально приховувати попередній перегляд вмісту буфера обміну в інтерфейсах клавіатури. Без одного з цих прапорців зловмисники могли б викрасти чутливі дані через підглядання або через зловмисні застосунки, що роблять знімки екрана або записують відео під час роботи у фоновому режимі. Застосунок Google Authenticator використовує цю функцію, коли копіюють коди, щоб людина поруч не бачила секрет, коли відкривається клавіатура, хоча значення залишається читабельним для інших застосунків. З Android 10 фоновий доступ до буфера обміну заборонено, а застосунки, що захоплюють екран, вимагають явного дозволу щоразу, якщо записувальний застосунок не підписаний тим самим ключем, що й операційна система Android. Від Android 12, на рівні API 31, застосунок, який звертається до даних буфера обміну і вставляє їх, запускає toast-повідомлення, що показується користувачеві.

Потенційне зловживання та запитані засоби контролю

Дослідник зазначив, що зловмисні розробники застосунків можуть використати розвідку з відкритих джерел, щоб визначити пов'язане ім'я облікового запису, або продати скопійований секрет окремо. Раніше дослідник відкрив запит на функцію в Google IssueTracker, просячи контроль доступу до буфера обміну з дозволами для окремих застосунків, подібно до налаштувань Location або Notification. Цей запит ґрунтувався на думці, що сповіщення toast, яке автоматично зникає і яке легко пропустити, є недостатнім для потенційно чутливої операції. Блог спочатку був написаний наприкінці липня 2026 року, але публікацію відклали до вирішення помилки командою Android Security Team.

Sources: toninoble.com