Исследователь обнаружил уязвимость в приложении, используемом на ИБ-конференции

image

Теги: Android, приложение, пароль

Код Android-приложения для сканирования пропусков содержит неизменяемый пароль.

Участники конференции RSA, в настоящее время проходящей в Сан-Франциско, продолжают сообщать о проблемах безопасности используемых на мероприятии систем и приложений. На днях ИБ-эксперт Джерри Гэмблин (Jerry Gamblin) с помощью полотенца из гостиничного номера «клонировал» пропуск на RSA. Теперь исследователи взялись за устройства, используемые компаниями, чья продукция представлена на конференции.

Производителям, представляющим на мероприятии свою продукцию, были выданы Samsung Galaxy S4, используемые в качестве счетчиков посетителей. Когда к стенду компании подходит человек, его пропуск сканируется с помощью смартфона и специального Android-приложения. Устройства работают в так называемом «режиме киоска», и использовать их можно исключительно как сканер. Разблокировать Galaxy S4 можно только с помощью пароля.

Старший аналитик компании Bluebox Security Эндрю Блаич (Andrew Blaich) загрузил приложение для сканирования пропусков из Google Play и исследовал его. Как оказалось, код программы содержит неизменяемый пароль, представленный в незашифрованном виде.

«С помощью пароля мы получили доступ к настройкам приложения. В свою очередь это предоставило нам доступ к системным настройкам. Мы активировали режим разработчика и получили полный контроль над устройством. Если нам удалось проделать это, то и злоумышленникам удастся. Они смогут получить права суперпользователя на устройстве, похитить данные или установить вредоносное ПО», - цитирует Гэмблина издание SecurityWeek.

Telegram Подписывайтесь на канал "SecurityLab" в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.

comments powered by Disqus