מיקרוסופט מגלה פרצת אבטחה חדשה באנדרואיד שמשפיעה על יותר מ-4 מיליארד הורדות

מיקרוסופט מזהירה את משתמשי ומפתחי אנדרואיד לגבי דפוס פגיעות שנמצא בכמה אפליקציות אנדרואיד בחנות Google Play. הפגיעות הפוטנציאלית משפיעה על יותר מ-4 מיליארד התקנות ברחבי העולם, כפי שהוכרז בדוח אחרון.

בין האפליקציות הפגועות, מיקרוסופט חשפה שתיים מהגדולות ביותר: WPS Office עם יותר מ-500 מיליון התקנות ומנהל הקבצים של Xiaomi Inc. עם יותר ממיליארד התקנות. שתי החברות קיבלו הודעה בפברואר השנה ומאז תיקנו את הבעיה.

הדוח מכיר בכך שאפליקציות רבות אחרות המייצגות יותר מ-500 מיליון התקנות עשויות להיות מושפעות, אך אף אחת לא נזכרה בשמן.

הפרצת האבטחה הזו שנקראת התקפת "Dirty Stream" זוהתה ברכיב ספק התוכן שמאפשר לאפליקציות לשתף מידע. הפגיעות ברכיב מסכנת את האפליקציות כיוון שגורמים זדוניים יכולים להשתלט על האפליקציה ולגשת לטוקנים של המשתמשים. כפי שהסבירו מומחי מיקרוסופט בהכרזה מה-1 במאי, התוצאות עשויות להשתנות ותלויות באופן בו האפליקציות מיישמות את הרכיב.

גוגל בשיתוף פעולה עם מיקרוסופט חשפה את הפגיעות הזו ושיתפה דוח סיכוני אבטחה בפלטפורמת Android Studio למפתחים, המספקת מידע נוסף ועצות כיצד להימנע מפגיעות עתידיות ולתקן את הקיימות.

ההודעה של מיקרוסופט פועלת לא רק כאזהרה למיליארדי האנשים שייתכן ויושפעו, אלא גם כהזמנה לחברות טכנולוגיה גדולות אחרות ולמפתחי אפליקציות לעבוד יחד כדי לספק אבטחת אפליקציות טובה יותר בכל התעשייה. הצהרת מיקרוסופט אומרת כי היא לא רק מספקת הנחיות למשתמשי ומפתחי אפליקציות, אלא גם מתכוונת "להמחיש את החשיבות של שיתוף פעולה לשיפור האבטחה לכולם."

הדוח של מיקרוסופט מספק גם הנחיות למשתמשי אנדרואיד, וההצעה הגדולה ביותר היא לוודא שהגרסאות האחרונות של האפליקציות מותקנות כרגע.

הוא גם משתף דוגמאות מעשיות לבעיה באמצעות חקר מקרה הכולל את מנהל הקבצים של Xiaomi Inc. כהפניה. הוא מסביר כיצד אפליקציה זדונית עשויה להתנהג בתרחישים חמורים: "בנוסף לגישה מלאה לאחסון החיצוני של המכשיר, האפליקציה מבקשת הרשאות רבות, כולל היכולת להתקין אפליקציות אחרות."

עם כל זה, כמו גם Forbes מאשרים, אין מה שהמשתמשים יכולים לעשות מלבד להישאר מעודכנים, לשמור את האפליקציות שלהם מעודכנות ולעקוב אחרי המלצות מיקרוסופט: "המשתמשים צריכים להתקין אפליקציות רק ממקורות אמינים כדי להימנע מאפליקציות זדוניות פוטנציאליות."