Новая уязвимость в Android позволяет злоумышленникам изменять приложения, не затрагивая их подписи

[sheknitrtch]

Мне нравится современная тенденция давать имена уязвимостям: HeartBleed, ShellShock, Bashdoor. В названии этой уязвимости андроида появляется двусмысленность, если убрать первую букву.

[Revertis]

Самое замечательное в таких уязвимостях то, что миллиард устройств никогда не получит обновления, закрывающего уязвимости :-/

[khim]

Тоже мне, удивили. А миллиард домашних роутеров, которые никогда никто обновлять не будет?

Интересно скорее какого размера потребуется «жареный петух» и кого он должен будет клюнуть, чтобы об этом вообще задумались бы?

P.S. Хотя может и не будет никакого «петуха»: как-то же эпоху до ssh/ssl с передачей паролей открытым текстом пережили — и катастрофы таки не случилось…

[DrZlodberg]

Уязвимость Janus влияет на последние Android-устройства (Android 5.0 и новее).

Не понятно, влияет ли она на «предпоследние» устройства (4+) которых ещё хватает.

[Waldesbv]

Уязвимость затрагивает приложения, использующие схему подписи APK Signature Scheme v1 (Android 5.0 и выше). Так что за свои старые девайсы не стоит переживать.

[khim]

За них не стоит переживать по другой причине: количество известных дыр в старых ядрах Linux'а таково, что никакой Janus им не нужен… хотя конкретно вот этой уязвимости — у них нет.

[receiver]

Подавляющее большинство приложений не использует вторую схему, что печально. Раз статья пиарная, будет справедливым сказать: «пользуйтесь DexProtector!»

[Revertis]

Интересно почему они не используют вторую схему. Ведь для этого нужно просто собирать проект системой сборки по умолчанию — Gradle. Он сам подписывает двумя вариантами, без проблем.