Microsoft telah menyoroti serangan baru yang dijuluki "Dirty Stream," yang dapat memungkinkan aplikasi Android berbahaya untuk menimpa file di direktori home aplikasi lain, yang berpotensi menyebabkan eksekusi kode sewenang-wenang dan pencurian rahasia.

Cacat muncul dari penggunaan yang tidak tepat dari sistem penyedia konten Android, yang mengelola akses ke kumpulan data terstruktur yang dimaksudkan untuk dibagi antara aplikasi yang berbeda.

Sistem ini menggabungkan isolasi data, izin URI, dan langkah-langkah keamanan validasi jalur untuk mencegah akses yang tidak sah, kebocoran data, dan serangan traversal jalur.

Jika diterapkan secara tidak benar, intent kustom, yang merupakan objek pesan yang memfasilitasi komunikasi antar komponen di seluruh aplikasi Android, dapat melewati langkah-langkah keamanan ini.

Contoh implementasi yang salah termasuk mempercayai nama file dan jalur yang tidak divalidasi dalam maksud, penyalahgunaan komponen 'FileProvider', dan validasi jalur yang tidak memadai.

Dirty Stream memungkinkan aplikasi berbahaya mengirim file dengan nama file atau jalur yang dimanipulasi ke aplikasi lain menggunakan maksud khusus. Aplikasi target disesatkan untuk mempercayai nama file atau jalur dan menjalankan atau menyimpan file dalam direktori penting.

Peneliti Microsoft Dimitrios Valsamaras mencatat bahwa implementasi yang salah ini sayangnya berlimpah, berdampak pada aplikasi yang diinstal lebih dari empat miliar kali dan menawarkan permukaan serangan besar-besaran.

"Kami mengidentifikasi beberapa aplikasi rentan di Google Play Store yang mewakili lebih dari empat miliar instalasi," bunyi laporan itu.

"Kami mengantisipasi bahwa pola kerentanan dapat ditemukan di aplikasi lain. Kami membagikan penelitian ini sehingga pengembang dan penerbit dapat memeriksa aplikasi mereka untuk masalah serupa, memperbaikinya sebagaimana mestinya, dan mencegah memperkenalkan kerentanan tersebut ke dalam aplikasi atau rilis baru. "
 

Sumber : https://www.bleepingcomputer.com/news/security/microsoft-warns-of-dirty-stream-attack-impacting-android-apps/