Эксперты компании Microsoftрассказали о новом методе атакиDirty Stream, основанном на технике path traversal, который дает возможность вредоносным приложениям для Androidизменять файлы в домашней директории других приложений. Это может привести к выполнению произвольного кода и утечке конфиденциальной информации. Среди приложений, подверженных данной проблеме, находятся Xiaomi File Manager иWPS Office, насчитывающие более 1,5 млрд установок.

Проблема связана с неправильным использованием системы Content Provider в Android, ответственной за безопасный доступ к структурированным данным, предназначенным для общего использования различными приложениями. Хотя данная система включает защитные меры, такие как изоляция данных, URI-разрешения и проверка путей для предотвращения несанкционированного доступа и утечек данных, исследователи обнаружили, что защиту можно обойти путем некорректной имплементации кастомных намерений (intent) Например, использование неверифицированных имен файлов и путей в намерениях, некорректное применение компонента FileProvider и недостаточная проверка путей.

Атака Dirty Stream позволяет вредоносным приложениям отправлять файл с измененным именем или путем другому приложению с помощью пользовательского намерения. Целевое приложение доверяет этим данным, что приводит к выполнению или сохранению файла в критически важном каталоге.