Odpravljanje ranljivosti XSS na ravni datotek

Te informacije so namenjene razvijalcem aplikacij, ki so ranljive za postopek File-based Cross-Site Scripting.

Kaj se dogaja?

Ena ali več vaših aplikacij vsebuje ranljivost za postopek File-based Cross-Site Scripting, ki jo je treba odpraviti. Preberite obvestilo v Konzoli Play. Morebitne aplikacije, ki imajo po rokih, navedenih v Konzoli Play, še vedno varnostne ranljivosti, bodo morda odstranjene iz Googla Play.

Potrebno ukrepanje

1. Prijavite se v Konzolo Play in pojdite v razdelek Opozorila, kjer si lahko ogledate aplikacije, na katere se to nanaša, in roke, do katerih je treba odpraviti težave.
2. Posodobite aplikacije, ki jih to zadeva, in odpravite ranljivost.
3. Pošljite posodobljene različice aplikacij, ki jih to zadeva.

Ko aplikacijo znova pošljete, jo bomo spet pregledali. Ta postopek lahko traja več ur. Če aplikacija uspešno opravi pregled in je objavljena, ni potrebno dodatno ukrepanje. Če pregled ni uspešen, nova različica aplikacije ne bo objavljena in boste prejeli e-poštno obvestilo.

Dodatne informacije

Mehanizmi WebView z nastavitvami WebSettings, ki setAllowFileAccessFromFileURLs ali setAllowUniversalAccessFromFileURLs nastavijo na »true«, ne smejo nalagati spletne vsebine, ki ni zaupanja vredna. To vključuje vsebino iz zaupanja vrednih domen, ki se naloži prek protokola HTTP. Zlonamerna spletna vsebina ali zlonamerna omrežja lahko vstavijo skripte, s katerimi mehanizem WebView preusmerijo na zlonamerno lokalno datoteko in zaženejo napad s skriptnim izvajanjem na več mestih, prek katerega dostopajo do zasebnih lokalnih datotek ali piškotkov.

To ranljivost preprečite na enega od teh načinov:

1. Poskrbite, da mehanizmi WebView nimajo nevarnih nastavitev.
2. Poskrbite, da mehanizmi WebView ne morejo nalagati lokalnih datotek ali izvajati JavaScripta.
3. Poskrbite, da mehanizmi WebView z nevarnimi nastavitvami ne nalagajo spletne vsebine, ki ni zaupanja vredna.

1. Zagotavljanje, da mehanizmi WebView nimajo nevarnih nastavitev

Različico android:targetSdkVersion v manifestu Manifest posodobite na vsaj 16, da bo uporabljala varne privzete nastavitve za WebView. Sicer kličite setAllowFileAccessFromFileURLs(false) in setAllowUniversalAccessFromFileURLs(false), da zagotovite varnost njunih mehanizmov WebView.

2. Zagotavljanje, da mehanizmi WebView ne morejo nalagati lokalnih datotek ali izvajati JavaScripta

Kličite setAllowFileAccess(false), da mehanizmom WebView z nevarnimi nastavitvami preprečite nalaganje lokalnih datotek, ali kličitesetJavaScriptEnabled(false), da mehanizmom WebView z nevarnimi nastavitvami preprečite izvajanje JavaScriptne kode.

3. Zagotavljanje, da mehanizmi WebView z nevarnimi nastavitvami ne nalagajo spletne vsebine, ki ni zaupanja vredna

Če mehanizem WebView mora omogočiti te nevarne nastavitve, morate poskrbeti, da ne nalaga spletne vsebine, ki ni zaupanja vredna. To vključuje spletno vsebino, naloženo prek protokola HTTP. Nastavite lahko android:usesCleartextTraffic=false ali v manifestu Manifest nastavite Network Security Config (konfiguracijo varnosti omrežja), ki onemogoča promet prek protokola HTTP. Zagotovite lahko tudi, da mehanizmi WebView z nevarnimi nastavitvami ne nalagajo URL-jev s shemami protokola HTTP.

Prav tako morate zagotoviti, da mehanizmi WebView z nevarnimi nastavitvami ne nalagajo URL-jev, pridobljenih iz virov, ki niso zaupanja vredni.

Tu smo, da vam pomagamo

Če imate tehnična vprašanja glede ranljivosti, jih objavite v skupnosti Stack Overflow in uporabite oznako »android-security«. Če potrebujete pojasnilo postopka, ki ga morate uporabiti za odpravljanje te težave, se lahko obrnete na skupino za podporo razvijalcem.