Android SDK Vulnerability Exposed Millions of Wallets
Sažetak
Microsoft je otkrio ozbiljan propust preusmeravanja intent-a u biblioteci treće strane EngageSDK za Android, čime su milioni korisnika kripto novčanika bili potencijal izloženi riziku od otkrivanja podataka i eskalacije privilegija. Problem je ispravljen u EngageSDK verziji 5.2.1, a slučaj pokazuje rastući bezbednosni rizik netransparentnih zavisnosti u lancu snabdevanja mobilnih aplikacija.
Uvod
Microsoft je otkrio ozbiljan Android bezbednosni problem u široko korišćenoj biblioteci treće strane, EngageSDK. Iako nije potvrđeno da je propust aktivno iskorišćen u praksi, pogodio je aplikacije instalirane u ogromnom obimu i predstavlja podsetnik da SDK-ovi trećih strana mogu neprimetno uneti veliki rizik u lanac snabdevanja inače pouzdanim mobilnim aplikacijama.
Šta se dogodilo
Ranjivost predstavlja propust preusmeravanja intent-a u EngageSDK, biblioteci koja se koristi za razmenu poruka i push notifikacije u Android aplikacijama.
Ključni detalji uključuju:
- Problem je omogućavao zlonamernoj aplikaciji na istom uređaju da zloupotrebi pouzdani kontekst ranjive aplikacije.
- To je potencijalno moglo dovesti do neovlašćenog pristupa zaštićenim komponentama, otkrivanja osetljivih podataka i eskalacije privilegija.
- Microsoft navodi da je više od 30 miliona instalacija samo kripto wallet aplikacija trećih strana bilo potencijalno izloženo riziku.
- Propust je povezan sa eksportovanom Android aktivnošću, MTCommonActivity, dodatom preko SDK-a tokom procesa build-a.
- Pošto se pojavljuje u spojenom manifestu nakon build procesa, programeri ga mogu prevideti tokom uobičajenog pregleda.
Microsoft je koordinisano objavio informacije zajedno sa EngageLab i Android Security Team. Problem je rešen u EngageSDK verziji 5.2.1 3. novembra 2025.
Zašto je ovo važno za bezbednosne timove
Ovo otkrivanje je važno i izvan Android wallet aplikacija. Pokazuje kako:
- SDK-ovi trećih strana mogu proširiti površinu napada bez jasne vidljivosti
- Eksportovane komponente mogu stvoriti nenamerne granice poverenja između aplikacija
- Slabosti u lancu snabdevanja mobilnih aplikacija mogu odjednom uticati na milione korisnika
Android je takođe dodao ublažavanja na nivou platforme za ovaj specifični EngageSDK rizik, a aplikacije za koje je utvrđeno da su ranjive uklonjene su sa Google Play prodavnice. Microsoft je naveo da korisnici koji su već preuzeli ranjive aplikacije sada imaju dodatnu zaštitu.
Uticaj na administratore i programere
Za bezbednosne administratore, ovo je snažan primer zašto upravljanje mobilnim aplikacijama mora da uključuje pregled zavisnosti, a ne samo reputaciju aplikacije ili odobrenje prodavnice.
Za programere i DevSecOps timove, najvažnije pouke su:
- Pregledajte spojene Android manifeste, ne samo izvorne manifeste
- Proverite eksportovane aktivnosti i druge izložene komponente
- Validirajte obradu intent-a i pretpostavke poverenja između aplikacija
- Pratite verzije SDK-ova trećih strana kao deo upravljanja lancem snabdevanja softvera
Preporučeni sledeći koraci
- Odmah nadogradite EngageSDK na verziju 5.2.1 ili noviju ako je prisutan u bilo kojoj Android aplikaciji.
- Pregledajte mobilne aplikacije radi eksportovanih komponenti dodatih kroz zavisnosti.
- Dodajte analizu zavisnosti i manifesta u CI/CD bezbednosne provere.
- Koristite Microsoft smernice za detekciju i indikatore iz originalnog savetodavnog izveštaja da biste procenili izloženost.
Ovaj incident dodatno potvrđuje širu činjenicu: bezbednost mobilnih aplikacija sve više oblikuju biblioteke od kojih aplikacije zavise, a ne samo kod koji programeri direktno pišu.
Trebate pomoć sa Security?
Naši stručnjaci mogu vam pomoći da implementirate i optimizujete vaša Microsoft rešenja.
Razgovarajte sa stručnjakomBudite u toku sa Microsoft tehnologijama