Aceste informații sunt destinate dezvoltatorilor care au primit un mesaj deoarece au aplicații care folosesc o versiune de GnuTLS (o bibliotecă de comunicații ce implementează protocoalele SSL, TLS și DTLS) care conține o vulnerabilitate de securitate. Aceste aplicații încalcă prevederea privind Produsele periculoase din Politica de conținut și secțiunea 4.4 din Acordul de distribuire pentru dezvoltatori.
Faceți upgrade aplicațiilor cât mai curând și incrementați numărul versiunii fișierului APK căruia i s-a făcut upgrade. Aplicațiile și actualizările aplicațiilor care conțin vulnerabilitatea GnuTLS nu vor fi acceptate de Google Play. Dacă folosiți o bibliotecă terță parte care include GnuTLS, notificați terța parte respectivă și colaborați cu aceasta pentru remedierea problemei.
Ce se întâmplă
Consultați notificarea din Play Console. După termenele limită afișate în Play Console, toate aplicațiile care conțin vulnerabilități de securitate neremediate pot fi eliminate din Google Play.
Acțiune necesară
- Conectați-vă la Play Console și navigați la secțiunea Alerte ca să vedeți ce aplicații sunt afectate și care sunt termenele limită pentru remedierea problemelor.
- Actualizați aplicațiile afectate și remediați vulnerabilitatea.
- Trimiteți versiunile actualizate ale aplicațiilor afectate.
După retrimiterea solicitării, aplicația dvs. va fi examinată din nou. Procesul poate dura câteva ore. Dacă aplicația trece de etapa de examinare și este publicată, nu mai este necesară nicio acțiune din partea dvs. Dacă aplicația nu trece de examinare, noua versiune a aplicației nu va fi publicată și veți primi o notificare prin e-mail.
Detalii suplimentare
Vulnerabilitatea a fost remediată în versiunile GnuTLS 3.1.25, GnuTLS 3.2.15 și GnuTLS 3.3.4. Cele mai recente versiuni GnuTLS pot fi descărcate de pe site-ul GnuTLS. Pentru asistență privind upgrade-ul, consultați documentația de asistență GnuTLS.
Din cauza unei erori în privința modalității în care versiunea GnuTLS analizează ID-urile de sesiune, este posibil ca un atacator să declanșeze o eroare de depășire a zonei-tampon și să preia controlul asupra aplicației de la distanță. Pentru mai multe informații despre vulnerabilitate, consultați https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-3466. Pentru alte întrebări de natură tehnică, postați pe Stack Overflow și folosiți etichetele „android-security” și „GnuTLS”.
Notă: deși este posibil ca aceste probleme să nu afecteze fiecare aplicație care folosește versiuni GnuTLS anterioare versiunilor 3.1.25, 3.2.15 și 3.3.4, este de preferat să actualizați cu toate corecțiile de securitate. Actualizați aplicațiile care au biblioteci dependente neactualizate sau alte vulnerabilități.
Înainte să publicați aplicațiile, asigurați-vă că respectă Acordul de distribuire pentru dezvoltatori și Politica de conținut.
Vă stăm la dispoziție pentru ajutor
Dacă aveți întrebări tehnice cu privire la vulnerabilitate, puteți posta pe Stack Overflow, cu eticheta „android-security”. Pentru clarificarea pașilor necesari pentru remedierea acestei probleme, contactați echipa de asistență pentru dezvoltatori.