Новый релиз 2024.5 | Платформа автоматизированного анализа защищённости мобильных приложений

Описание

Новая функциональность в релизе 2024.05:

Android. Добавлены активные проверки для экспортированных Activity. Новые обнаруживаемые уязвимости:
o Ошибка в приложении при работе через IPC
o Возможность опосредованного запуска приватных Activity
o Возможность запуска произвольного Intent с помощью схемы intent://
o Возможность запуска произвольной Активности через Intent

Android. Добавлены активные проверки для Deeplink. Новые обнаруживаемые уязвимости:
o Возможность подмены Url
o Возможность открытия произвольной URL в WebView
o Возможность открытия произвольных данных в контексте WebView

Android. Добавлены активные проверки для фрагментов при использовании JetPack Navigation. Новые обнаруживаемые уязвимости:
o Приложение использует уязвимую навигацию
o Доступ к произвольному Фрагменту с помощью Интента

Android. Реализован разбор Permissions в приложении. Новые обнаруживаемые уязвимости:
o Небезопасный protectionLevel у разрешения
o Неверное пространство имён у разрешения
o У компонента выставлен неверный атрибут вместо android:permission, возможно android:uses-permission
o Приложение использует не объявленное разрешение
o Приложение не использует объявленное разрешение
o Небезопасный доступ к Content Provider
o ContentProvider использует одинаковые разрешения на чтение и запись
o Указан небезопасный путь к Content Provider
o Опасные разрешения заданные разработчиком
o Разрешения, заданные разработчиком
o Опасные группы разрешений, заданные разработчиком
o Группы разрешений, заданные разработчиком
o Использование опасных разрешений
o Разрешения, используемые приложением

· Android. Добавление нового модуля анализа байткода для выявления уязвимостей методом Taint-анализа. Новые обнаруживаемые уязвимости:
o Данные из сторонних источников могут привести к RCE
o Данные из сторонних источников используются в FileResolver
o Данные из сторонних источников формируют Intent
o Данные из сторонних источников могут попасть в WebView JS
o Данные из сторонних источников формируют SQL-выражение
o Данные из EditText попадают в WebView.loadurl()
o Данные из EditText попадают в файл
· Android, iOS. Добавлен способ обнаружения небезопасно настроенного сервиса Firebase Remote Config при поиске мультисекретов.

Общее. Изменение логики работы сканирующих агентов, снижение нагрузки и ускорение запуска сканирования.

Общее. Изменение работы с лицензиями, отображение текущих ограничений, загрузка новых лицензий.

Стандарты и требования: Реализован маппинг CWE уязвимостей на уязвимости Стингрей

Android. Добавлена возможность добавление пользовательских заголовков во все запросы от приложения

Полный перечень изменений и доработок на сайте: https://mobile-stingray.ru/platform/r...

Новости мобильной безопасности: https://t.me/mobile_appsec_world
Курсы безопасности Android/iOS: https://swordfish-academy.ru