SQL-lisäyshaavoittuvuuden korjaaminen

Nämä tiedot on tarkoitettu kehittäjille, joiden sovellukset sisältävät SQL-lisäyshaavoittuvuuden.

Mistä on kyse?

Yhdessä tai useammassa sovelluksessasi on SQL-lisäyshaavoittuvuus, joka on korjattava. Lue lisää Play Consolen ilmoituksesta. Play Consolessa näytettyjen määräaikojen jälkeen korjaamattomia tietosuojahaavoittuvuuksia sisältävät sovellukset saatetaan poistaa Google Playsta.

Edellyttää toimia

1. Kirjaudu sisään Play Consoleen ja siirry ilmoitusosioon, niin näet, mihin sovelluksiin ongelmat vaikuttavat, ja määräajat niiden ratkaisemiselle.
2. Päivitä kyseiset sovellukset ja korjaa haavoittuvuus.
3. Lähetä sovellusten päivitetyt versiot.

Sovellus tarkastetaan lähetyksen yhteydessä uudelleen. Tässä voi kestää useita tunteja. Jos sovellus läpäisee tarkastuksen ja sen julkaisu onnistuu, lisätoimia ei tarvita. Jos sovellus ei läpäise tarkastusta, uutta sovellusversiota ei julkaista ja sinulle ilmoitetaan tästä sähköpostilla.

Lisätietoja

Query-, update- ja delete-toiminnot viedyssä ContentProvidersissa voivat olla alttiita SQL-lisäyshaavoittuvuudelle, jos ne lisäävät turvatonta sisältöä SQL-ilmoituksiin. Haitallinen sovellus voi lisätä luomaansa sisältöä päästäkseen käsiksi yksityisiin tietoihin tai vioittaakseen tietokannan sisältöä. Voit korjata tämän ongelman seuraavilla tavoilla:

Jos haavoittuneen ContentProviderin ei tarvitse näkyä muille sovelluksille:

• Voit muokata asiaan liittyvän ContentProviderin <provider>-tagia luettelossasi, jotta voit tehdä määrityksen android:exported="false". Tämä estää muita sovelluksia lähettämästä tavoitteita haavoittuvalle ContentProviderille.

• Voit myös määrittää android:permission-attribuutin käyttöoikeudeksi koodilla android:protectionLevel="signature", ja estää näin muiden kehittäjien kirjoittamaa koodia lähettämästä tavoitteita haavoittuvalle ContentProviderille.

Jos haavoittuneen ContentProviderin on oltava muiden sovellusten näkyvissä:

• Voit estää SQL-lisäyksen SQLiteDatabase.queryyn käyttämällä tiukkaa tilaa ennustekartan kanssa. Tiukka tila suojaa haitallisilta valintalausekkeilta ja ennustekartta suojaa haitallisilta ennustelausekkeilta. Sinun on käytettävä molempia ominaisuuksia varmistaaksesi, että kyselysi ovat turvassa.
• Voit estää SQL-lisäyksen SQLiteDatabase.updateen ja SQLiteDatabase.deleteen käyttämällä valintalauseketta, jossa on käytössä "?" korvattavana parametrinä ja erillinen joukko valinta-argumentteja. Valintalausekkeesi ei pitäisi koostua epäluotettavasta sisällöstä.

Autamme mielellämme

Voit esittää teknisiä kysymyksiä haavoittuvuudesta Stack Overflow ‑sivustolla. Merkitse kysymyksesi android-security-tagilla. Jos tarvitset lisätietoja korjausvaiheista, ota yhteyttä kehittäjien tukitiimiimme.