Компания Google пропатчила уязвимость в Google Admin, помогавшую хакерам компрометировать данные аккаунтов, сообщает The Register.

Изначально брешь была обнаружена исследователем из MWR Labs Робом Миллером (Rob Miller). По словам исследователя, вредоносная программа, находящаяся на том же устройстве, что и Google Admin, может читать данные из любого файла в песочнице Google Admin, обходя песочницу Android.

Проблема возникает, когда Google Admin получает URL из другого установленного приложения. Злоумышленникам достаточно было использовать символьную ссылку на контролируемый ими файл для обхода Same Origin Policy. Практически любое приложение на Android-девайсе могло эксплуатировать эту уязвимость. Таким образом, для девайсов с Google Admin было критически важным, чтобы на них не было проинсталлировано никаких ненадежных приложений из сторонних источников.

«Дыра» была найдена в марте, а информация о ней была обнародована спустя 90 дней, отведенных на то, чтобы Google выпустила соответствующий патч. Однако Google просрочила установленный дедлайн.

Напомним, что недавно специалисты по безопасности рассказали пользователям еще об одном факте, компрометирующем приложение от компании Google. Так, пугающая функция была обнаружена в софте Google Photos — программа отсылает фотографии в Сеть, даже если ее удалили. Выяснилось, что полностью удаленная программа Google Photos будет по-прежнему работать в фоновом режиме, скрытно от владельца устройства на Android, и загружать фотографии со смартфона на сервера Google.

Спустя некоторое время в официальном магазине Google были найдены поддельные программы Minecraft 3, Flappy Birds и Clash of Clans 2, которые тайно работали на порнографические ресурсы. За три месяца около 60 поддельных приложений, содержащих порнокликеры, были скачаны пользователями 210 тыс. раз, что позволяет судить о серьезном объеме сгенерированного трафика, направленного на ресурсы со «взрослым» контентом.

Категории: Уязвимости