В клавиатурных приложениях для Android выявлены серьезные недостатки безопасности

Три приложения для Android, разработанные для того, чтобы пользователи могли использовать свои телефоны в качестве клавиатуры для рабочей станции, могут раскрывать нажатие клавиш злоумышленникам и позволять им выполнять удаленный код.

Аналитики компании Synopsys, занимающейся автоматизацией электронного проектирования (EDA), обнаружили критические уязвимости в PC keyboard, Lazy mouse и Telepad и опубликовали рекомендательное уведомление в своем блоге по безопасности приложений о семи различных недостатках безопасности.

Затронуты бесплатная и платная версии этих приложений, имеющие общую базу установок более двух миллионов. В Synopsys не получили ответа от разработчиков соответствующих приложений в течение 90 дней после первого обращения в августе 2022 года и теперь рекомендует удалить приложения.

Из сообщения компании:

«Исследование CyRC выявило слабые или отсутствующие механизмы аутентификации, отсутствующую авторизацию и уязвимости небезопасной связи в трех приложениях. Хотя все уязвимости связаны с реализациями аутентификации, авторизации и передачи, механизм отказа каждого приложения отличается».

Речь идет об уязвимостях CVE-2022-45477, CVE-2022-45478, CVE-2022-45479, CVE-2022-45480, CVE-2022-45481, CVE-2022-45482 и CVE-2022-45483. Вместе они разрешают неавторизованным пользователям доступ к удаленным серверам приложений и позволяют им совершать атаки типа «человек посередине» и читать все нажатия клавиш в открытом тексте.

Lazy Mouse, в частности, не требует установки пароля для сервера в приложении и не устанавливает его по умолчанию, что подвергнет пользователей риску раскрытия конфиденциальных и личных данных, которые могут быть использованы для различных киберпреступлений.

Чтобы избежать случайной установки вредоносного ПО, убедитесь, что приложение исходит из надежного источника, имеет отличные отзывы пользователей, рекомендации экспертов технической отрасли, недавнюю историю обновлений и описание с идеальной орфографией и грамматикой, предупреждают исследователи безопасности.

Startpack подготовил список антивирусных продуктов, которые помогают защитить IT-активы компании от заражения зловредами. Список содержит продукты российских и зарубежных разработчиков. Помимо защиты от вирусов, решения позволяют хранить и управлять паролями, разворачивать антиспам-системы, проводить резервное копирование данных, защищать не только персональные компьютеры, но и серверы, а также локальные сети предприятия.

Статьи по теме