Waldesbv Dec 10 2017 at 19:34

Новая уязвимость в Android позволяет злоумышленникам изменять приложения, не затрагивая их подписи

4 min

24K

Java*Development for Android*

From sandbox

+18

Comments 8

sheknitrtch Dec 10 2017 at 22:53

Мне нравится современная тенденция давать имена уязвимостям: HeartBleed, ShellShock, Bashdoor. В названии этой уязвимости андроида появляется двусмысленность, если убрать первую букву.

-2

Revertis Dec 10 2017 at 23:38

Самое замечательное в таких уязвимостях то, что миллиард устройств никогда не получит обновления, закрывающего уязвимости :-/

khim Dec 11 2017 at 16:40

Тоже мне, удивили. А миллиард домашних роутеров, которые никогда никто обновлять не будет?

Интересно скорее какого размера потребуется «жареный петух» и кого он должен будет клюнуть, чтобы об этом вообще задумались бы?

P.S. Хотя может и не будет никакого «петуха»: как-то же эпоху до ssh/ssl с передачей паролей открытым текстом пережили — и катастрофы таки не случилось…

DrZlodberg Dec 11 2017 at 06:05

Уязвимость Janus влияет на последние Android-устройства (Android 5.0 и новее).

Не понятно, влияет ли она на «предпоследние» устройства (4+) которых ещё хватает.

Waldesbv Dec 11 2017 at 06:21

Уязвимость затрагивает приложения, использующие схему подписи APK Signature Scheme v1 (Android 5.0 и выше). Так что за свои старые девайсы не стоит переживать.

khim Dec 11 2017 at 16:42

За них не стоит переживать по другой причине: количество известных дыр в старых ядрах Linux'а таково, что никакой Janus им не нужен… хотя конкретно вот этой уязвимости — у них нет.

receiver Dec 11 2017 at 14:17

Подавляющее большинство приложений не использует вторую схему, что печально. Раз статья пиарная, будет справедливым сказать: «пользуйтесь DexProtector!»

Revertis Dec 11 2017 at 16:58

Интересно почему они не используют вторую схему. Ведь для этого нужно просто собирать проект системой сборки по умолчанию — Gradle. Он сам подписывает двумя вариантами, без проблем.

Show the best of all time