Уязвимость XFO (X-Frame-Options) в Android Play Store позволяет удаленное выполнение кода

Уязвимость в приложении Google Play Store делает пользователей Android уязвимыми для вредоносного ПО.

Уязвимость XFO, также известная как X-Frame-Options, в сочетании с недавней ошибкой Android WebView (Jelly Bean) создает возможность для хакеров тихо устанавливать любое приложение из Google Play Store.

Джо Венникс из Rapid7 выявил уязвимость XFO в Play Store, и компания Metasploit обнародовала эту проблему во вторник, опубликовав уведомление, сопровождаемое модулем Metasploit, который помогает специалистам по корпоративной безопасности тестировать смартфоны, выданные компанией, на наличие уязвимости XFO.

Менеджер по инженерии в Rapid7, Тодд Бирдсли, работающий в компании, стоящей за инструментом тестирования на проникновение Metasploit, объяснил, что многие устройства с установленной версией Android 4.3 (Jelly Bean) и более ранними версиями поставляются с браузерами, имеющими уязвимости UXSS [Универсальный межсайтовый скриптинг].

Бирдсли утверждает,

“Пользователи этих платформ также могли установить уязвимые браузеры сторонних производителей. Пока уязвимость XFO [X-Frame-Options] в Google Play Store не будет устранена, пользователи этих веб-приложений, которые регулярно входят в свою учетную запись Google, останутся уязвимыми.”

Бирдсли продолжает объяснять, что удаленное выполнение кода достигается за счет использования двух уязвимостей на затронутых устройствах Android. Указывая на более подробную информацию о модуле Metasploit,

“Во-первых, модуль использует уязвимость Универсального межсайтового скриптинга (UXSS), присутствующую в версиях открытого исходного кода браузера Android (AOSP Browser), а также в некоторых других браузерах, до версии 4.4 (KitKat). Во-вторых, веб-интерфейс Google Play Store не обеспечивает заголовок X-Frame-Options: DENY на некоторых страницах ошибок, и, следовательно, может быть нацелен на инъекцию скриптов. В результате это приводит к удаленному выполнению кода через функцию удаленной установки Google Play, так как любое приложение, доступное в Google Play Store, может быть установлено и запущено на устройстве пользователя.”

Таким образом, использование браузера, такого как Google Chrome или Mozilla Firefox, которые не подвержены широко известным уязвимостям UXSS, и отсутствие входа в Google Play Store может помочь смягчить и избежать этой уязвимости.