漏洞名称:Activity组件暴露
风险等级:中危
漏洞位置:AndroidManifest.xml:
io.dcloud.PandoraEntry
io.dcloud.H5AC4580F.wxapi.WXEntryActivity
com.igexin.sdk.GActivity
com.igexin.sdk.GetuiActivity
漏洞描述:存在四个Activity组件暴露,APP的每个组件都可在AndroidManifest.xml里通过导出属性exported被设置为私有或公
有。私有或公有的默认设置取决于此组件是否被外部使用。公有组件能被任何应用程序的任何组件所访问,这容易
造成安全问题。
漏洞危害:攻击者可构造恶意payload进行攻击,导致敏感信息泄露,并可能受到绕过认证、恶意代码注入等攻击风险。
安全建议:1. 如果Activity组件不需要与其它系统共享数据或交互,应在AndroidManifest.xml 配置文件中将该Activity组件的
android:exported 属性值设置为false。如果Activity组件需要与其它APP共享数据或交互,应对Activity组件进行权限
控制和参数校验;
- 在界面切换时,检测下一界面的Activity类,如不是被测系统内的界面,则提示并退出。
漏洞名称:Service组件暴露
风险等级:中危
漏洞位置:AndroidManifest.xml:
com.igexin.sdk.GService
漏洞描述:APP的每个组件都可在AndroidManifest.xml里通过导出属性exported被设置为私有或公有。私有或公有的默认设置
取决于此组件是否被外部使用。公有组件能被任何应用程序的任何组件所访问,这容易造成安全问题。Service组件
导出可导致任意应用在没有任何提示的情况下启动相关服务
漏洞危害:攻击者利用该组件暴漏完成服务操作,可造成权限提升、拒绝服务攻击等安全风险。
安全建议:如果组件不需要与其它系统共享数据或交互,应在AndroidManifest.xml配置文件中将该service的android:exported
属性值设置为false。如果该service需要与其它APP共享数据或交互,应对service进行权限控制和参数校验。
求大佬们解答,该漏洞如何修复?
如果按照安全建议,那么uniapp云打包如何修改AndroidManifest.xml,如果修改了android:exported属性值设置为false,是否影响程序正常使用(WXEntryActivity、GetuiActivity等)
1***@qq.com (作者)
还是会有中危漏洞:Activity组件泄露漏洞
App应用——Android
Activity组件能被第三方APP任意调用。
导出的Activity组件能被第三方APP任意调用,攻击者可构造恶意payload进行攻击,导致敏感信息泄露,并可能受到绕过认证、恶意代码注入等攻击风险。
1、如果Activity组件不需要与其它系统共享数据或交互,应在AndroidManifest.xml配置文件中将该Activity组件的android:exported属性值设置为false。如果Activity组件需要与其它APP共享数据或交互,应对Activity组件进行权限控制和参数校验。
2、在界面切换时,检测下一界面的Activity类,如不是被测系统内的界面,则提示并退出。
2024-11-05 16:26