Топ-5 интересных находок при сканировании мобильных приложений в 2024 году! 📱

1️⃣Приложения на Flutter
За год мы проанализировали множество приложений, разработанных с использованием фреймворка Flutter. Наша статистика показывает, что 9 из 10 таких приложений имеют хотя бы одну из трех уязвимостей, связанных с локальной аутентификацией:
- Неограниченное количество попыток ввода пин-кода (что ведет к возможности полного перебора).
- Отсутствие реакции на изменения биометрических данных.
- Возможность обхода биометрической аутентификации.

2️⃣Использование сторонних сервисов
Мы заметили, что многие разработчики неправильно интегрируют сторонние сервисы и ключи доступа. 🔑 Часто во время аудита не проверяют, как именно подключены сторонние сервисы и как хранятся ключи. Самым запоминающимся, был открытый сервис Firebase Remote Config, внутри которого были все ключи доступа ко всем остальным интеграциям в приложении, включая релизные и разработческие сервисы. То есть, как только эти ключи туда попали, их можно считать скомпрометированными и ненадежными. Поскольку это было финансовое приложение, интеграции также были с платежными системами.

3️⃣ Уязвимость в Android Jetpack Navigation Library
Одной из самых тревожных находок была уязвимость в библиотеке "Jetpack Navigation". Почти каждое четвертое Android-приложение оказалось подвержено этой проблеме, позволяя обходить экран авторизации. Это означало, что любое стороннее приложение могло открыть другое приложение на главном экране без ввода пин-кода.

4️⃣Хранение конфиденциальной информации
По-прежнему одной из самых распространённых проблем является избыточное хранение конфиденциальных данных в открытом виде. 😲 Мы обнаружили приложение, которое сохраняло абсолютно все данные, получаемые с серверной части, включая паспортные данные, СНИЛС и много другой информации пользователя, фактически не защищая их.

5️⃣SQL-инъекции
В нескольких приложениях были выявлены уязвимости SQL-инъекций. Это позволяло злоумышленникам менять аккаунт в уязвимом приложении. После эксплуатации такой уязвимости пользователь, открыв приложение, мог попасть в чужой аккаунт, что потенциально могло привести к кражам средств и фишингу.

Помните, что забота о безопасности мобильных приложений — это не просто обязанность, а инвестиция в доверие ваших пользователей. Платформа Стингрей поможет вам держать уровень защиты на высоте, выявляя уязвимости и укрепляя безопасность данных. 🛡

#Экспертиза_AppSec #MAST

🔎Навигатор по каналу AppSec Solutions

У нас много полезного контента, и чтобы вам было проще ориентироваться, мы подготовили небольшую навигацию. ⬇️

Релизы новых версий продуктов:

#AppSecHub_Релизы

#Стингрей_Релизы

#AppSecTrack_Релизы

#AppSecCode_Релизы

Практики DevSecOps: #OSA_SCA #ASPM #MAST #SCM

#Экспертиза_AppSec — экспертные мнения и разборы по вопросам безопасной разработки.

#AppSec_исследование — исследования, отчёты и аналитические доклады по безопасности приложений.

#AppSec_Лонгрид - развёрнутые статьи по Application Security.

#ПодкастВнутриDevSecOps — эпизоды нашего подкаста, посвящённого DevSecOps.

#AppSec_Вебинары — записи прошедших вебинаров и анонсы будущих.

#AppSec_Кейсы - примеры реальных кейсов и историй успеха наших клиентов.

#AppSec_Партнёрство — взаимодействие с партнёрами, совместные проекты и инициативы.

#AppSec_Мероприятия — анонсы мероприятий, конференций и встреч.