Løs et sikkerhetsproblem i forbindelse med skripting mellom apper

Denne informasjonen er beregnet på utviklere med app(er) som inneholder sikkerhetsproblemet «Skripting mellom apper».

Hva skjer?

Én eller flere av appene dine inneholder et WebView-problem med skripting mellom apper som kan gjøre det mulig for skadelige apper å stjele brukernes informasjonskapsler og andre data. Les varselet i Play-konsollen. Alle apper som inneholder uløste sikkerhetssvakheter, kan bli fjernet fra Google Play etter tidsfristene som vises i Play-konsollen.

Dette må du gjøre​

1. Logg på Play-konsollen og gå til Varsler-delen for å se hvilke apper som er berørt samt tidsfristene for å løse disse problemene.
2. Oppdater de berørte appene og løs sikkerhetssvakheten.
3. Send inn de oppdaterte versjonene av de berørte appene.

I løpet av denne perioden har den nye appen eller appoppdateringen statusen venter på publisering frem til forespørselen din er gjennomgått. Hvis appen ikke er oppdatert på riktig måte, ser du fortsatt advarselen.

Flere detaljer

WebView-objekter som aktiverer JavaScript og laster inn data som leses fra usikre intensjoner, kan bli lurt av ondsinnede apper til å kjøre JavaScript-kode i en usikker kontekst. Vi anbefaler at du forhindrer dette sikkerhetsproblemet på én av disse måtene:

Alternativ 1: Sørg for at de berørte aktivitetene ikke eksporteres

Finn aktiviteter med berørte WebView-objekter. Hvis disse aktivitetene ikke trenger å ta intensjoner fra andre apper, kan du angi android:exported=false for aktivitetene i manifestet. Dette sikrer at skadelige apper ikke kan sende skadelige inndata til noen WebView-objekter i disse aktivitetene.

Alternativ 2: Beskytt WebView-objekter i eksporterte aktiviteter

Hvis du vil angi en aktivitet med et berørt WebView-objekt som eksportert, anbefaler vi at du gjør følgende endringer:

1. Beskytt kallene for å evaluere JavaScript og loadUrl

   Sørg for at parameterne for evaluateJavaScript alltid er sikre. Kall av evaluateJavascript med urene inndata fra usikre intensjoner gjør det mulig for angripere å kjøre skadelige skript i det berørte WebView-objektet. På samme måte kan kall av loadUrl med urene inndata som inneholder javascript:-skjemanettadresser, gjøre det mulig for angripere å kjøre skadelige skript.

2. Hindre usikre filinnlastinger

   Sørg for at berørte WebView-objekter ikke kan laste inn databasen over informasjonskapsler. WebView-objekter som laster inn urene file://-nettadresser fra usikre intensjoner, kan angripes av skadelige apper gjennom to trinn. Trinn 1: En skadelig nettside kan skrive <script>-etiketter inn i databasen for informasjonskapsler. Trinn 2: Denne endrede filen i databasen for informasjonskapsler kan lastes inn hvis en skadelig app sender en intensjon med en file://-nettadresse som peker til WebView-databasen for informasjonskapsler, eller hvis selve den skadelige nettsiden viderekobler WebView-objektet til filnettadressen. Den skadelige <script>-filen som er lagret i databasen for informasjonskapsler, lastes inn og kjøres, noe som kan stjele øktinformasjon.

   Du kan sikre at berørte WebView-objekter ikke kan laste inn WebView-databasen for informasjonskapsler, på to måter.

   1. Slå av all filtilgang.
   2. Sørg for at WebView-objektet bare laster inn file://-nettadresser, og bekreft at alle innlastede file://-nettadresser peker til trygge filer. Vær oppmerksom på at angripere kan bruke symbolske linker til å lure kontroller på nettadressebanen. For å forhindre slike angrep må du kontrollere den kanoniske banen til usikre file://-nettadresser før de lastes inn, i stedet for bare å kontrollere nettadressebanen.
   3. Hvis du vil tillate både http://-nettadresser og file://-nettadresser, kan du implementere file://-nettadressebekreftelsen med shouldOverrideUrlLoading ogshouldInterceptRequest i WebViewClient. Dette sikrer at alle nettadresser som lastes inn i WebView, er bekreftet, og ikke begrenset til nettadressene som oppgis direkte via loadUrl()-funksjonskall.

Vi er her for å hjelpe deg
Hvis du har tekniske spørsmål om sikkerhetsproblemet, kan du skrive et innlegg på Stack Overflow med etiketten «android-security». Hvis du vil ha mer informasjon om hva du må gjøre for å løse dette problemet, kan du kontakte brukerstøtteteamet for utviklere.