شماره: IRCNE2015082605
تاريخ:05/27 /94
يك مشكل امنيتي در كنسول گوگل ادمين به برنامه هاي كاربردي اجازه مي دهد تا محدوديت هاي sandbox را دور زنند.
راب ميلر، يك محقق امنيتي در آزمايشگاه MWR Labs گفت: اين آسيب پذيري در برنامه كاربردي ادمين اندرويد گوگل يافت شده است و به برنامه هاي كاربردي متفرقه اجازه مي دهد تا محدوديت هاي sandbox را دور زنند و از طريق لينك هاي نمادين، فايل هاي دلخواه را بخوانند.
اگر كنسول از طريق يك فراخوان IPC از برنامه اي از دستگاه ديگر يك درخواست URL را دريافت كند، برنامه اندرويد اين لينك را در WebView لود مي كند. با اينحال، اگر مهاجمي از آدرس file:// URL استفاده كند، اين امكان وجود دارد كه لينك هاي نمادين خط مشي مبدا يكسان را دور زند و داده هاي را خارج از sandbox بازيابي كند.
در نتيجه اگر برنامه هاي كاربردي متفرقه از مكان هاي نامعتبر يا خرابكار نصب شده باشد به مهاجمان كنترل كننده برنامه اجازه مي دهد تا داده ها را از هر فايلي در گوگل ادمين بخوانند.
در زمان افشاي اين آسيب پذيري نسخه اصلاح شده اي براي برنامه گوگل ادمين منتشر نشده است. براي كاهش خطر سوء استفاده از اين آسيب پذيري، دستگاه هايي كه از گوگل ادمين استفاده مي كنند نبايد از برنامه هاي كاربردي متفرقه و نامعتبر استفاده كنند.
- 3