Топ-5 интересных находок при сканировании мобильных приложений в 2024 году! 📱

1️⃣Приложения на Flutter
За год мы проанализировали множество приложений, разработанных с использованием фреймворка Flutter. Наша статистика показывает, что 9 из 10 таких приложений имеют хотя бы одну из трех уязвимостей, связанных с локальной аутентификацией:
- Неограниченное количество попыток ввода пин-кода (что ведет к возможности полного перебора).
- Отсутствие реакции на изменения биометрических данных.
- Возможность обхода биометрической аутентификации.

2️⃣Использование сторонних сервисов
Мы заметили, что многие разработчики неправильно интегрируют сторонние сервисы и ключи доступа. 🔑 Часто во время аудита не проверяют, как именно подключены сторонние сервисы и как хранятся ключи. Самым запоминающимся, был открытый сервис Firebase Remote Config, внутри которого были все ключи доступа ко всем остальным интеграциям в приложении, включая релизные и разработческие сервисы. То есть, как только эти ключи туда попали, их можно считать скомпрометированными и ненадежными. Поскольку это было финансовое приложение, интеграции также были с платежными системами.

3️⃣ Уязвимость в Android Jetpack Navigation Library
Одной из самых тревожных находок была уязвимость в библиотеке "Jetpack Navigation". Почти каждое четвертое Android-приложение оказалось подвержено этой проблеме, позволяя обходить экран авторизации. Это означало, что любое стороннее приложение могло открыть другое приложение на главном экране без ввода пин-кода.

4️⃣Хранение конфиденциальной информации
По-прежнему одной из самых распространённых проблем является избыточное хранение конфиденциальных данных в открытом виде. 😲 Мы обнаружили приложение, которое сохраняло абсолютно все данные, получаемые с серверной части, включая паспортные данные, СНИЛС и много другой информации пользователя, фактически не защищая их.

5️⃣SQL-инъекции
В нескольких приложениях были выявлены уязвимости SQL-инъекций. Это позволяло злоумышленникам менять аккаунт в уязвимом приложении. После эксплуатации такой уязвимости пользователь, открыв приложение, мог попасть в чужой аккаунт, что потенциально могло привести к кражам средств и фишингу.

Помните, что забота о безопасности мобильных приложений — это не просто обязанность, а инвестиция в доверие ваших пользователей. Платформа Стингрей поможет вам держать уровень защиты на высоте, выявляя уязвимости и укрепляя безопасность данных. 🛡

#Экспертиза_AppSec #MAST