Ši informacija skirta kūrėjams, kurių programose naudojamas nesaugus „HostnameVerifier“ sąsajos diegimas, priimantis visus prieglobos serverių pavadinimus, kai užmezgamas HTTPS ryšys su nuotoline priegloba, naudojant „setDefaultHostnameVerifier“ API. Pritaikius šį diegimą programa tampa pažeidžiama duomenų nuskaitymo atakos atveju. Užpuolikas gali potencialiai skaityti perduodamus duomenis (pvz., prisijungimo duomenis) ir net pakeisti HTTPS ryšiu perduodamus duomenis.
Kas vyksta
Nuo 2017 m. kovo 1 d. „Google Play“ pradėjo blokuoti skelbiamas naujas programas ar naujinius, kuriuose naudojamas nesaugus „HostnameVerifier“ patikros diegimas. Žr. pranešimą sistemoje „Play Console“. Praėjus „Play Console“ nurodytiems terminams, programos, kuriose yra nepataisytų saugumo pažeidimų, gali būti pašalintos iš „Google Play“.
Būtini veiksmai
- Prisijunkite prie „Play Console“ ir nuėję į skiltį „Įspėjimai“ peržiūrėkite, kurios programos yra paveiktos ir iki kada reikia išspręsti šias problemas.
- Atnaujinkite paveiktas programas ir pataisykite pažeidimą.
- Pateikite atnaujintas paveiktų programų versijas.
Pateikus iš naujo, programa bus peržiūrėta dar kartą. Tai gali užtrukti kelias valandas. Jei programa po peržiūros įvertinama kaip tinkama ir sėkmingai paskelbiama, kitų veiksmų imtis nereikia. Jei programa po peržiūros įvertinama kaip netinkama, nauja jos versija skelbiama nebus, o jūs gausite el. pašto pranešimą.
Papildoma informacija
Kad tinkamai apdorotumėte prieglobos serverio pavadinimo patvirtinimą, pakeiskite patvirtinimo metodą tinkintoje sąsajoje „HostnameVerifier“, kad būtų pateikta vertė „false“, kai prieglobos serverio pavadinimas neatitinka jūsų lūkesčių.
Atminkite, kad programos taip pat turi atitikti Kūrėjų platinimo sutarties ir turinio politikos nuostatas.
Esame pasirengę padėti
Jei kyla su pažeidimais susijusių techninių klausimų, galite juos paskelbti „Stack Overflow“ ir naudoti žymą „android-security“. Jei reikia daugiau informacijos apie veiksmus, kuriuos turite atlikti, kad išspręstumėte šią problemą, galite susisiekti su mūsų kūrėjų palaikymo komanda.