Более 1200 популярных программ по-прежнему уязвимы для FREAK

19.03.2015 | 02:28 Экономика

Исследователи из FireEye утверждают, что риски безопасности, связанные с багом FREAK, никуда не исчезли.

1228 программ и приложений для Android, которые были скачаны 6.3 млрд раз из магазина Google Play по-прежнему уязвимы для бага FREAK, в соответствии с данными компании сетевой безопасности FireEye.

Результаты исследования, опубликованные во вторник, показывают, насколько приложения Android и iOS уязвимы для FREAK-атаки.

FREAK — криптографическая уязвимость, которая позволяет злоумышленникам скомпрометировать используемое браузером защищенное подключение HTTPS между уязвимым сайтом или операционной системой и сервером, и использовать слабый протокол шифрования.

В сочетании с так называемой атакой посредника (man-in-the-middle), данные теоретически могут быть перехвачены и взломаны, поскольку пользователь невольно использовал шифрование меньшего уровня, чем предполагалось.

Согласно FireEye, по состоянию на 4 марта, обе платформы Android и iOS уязвимы. Поскольку FREAK является уязвимостью как платформы, так и приложений, даже после того, как Google и Apple выпустили патчи, приложения могут быть по-прежнему уязвимы при подключении к серверам, которые принимают комплекты шифров RSA_EXPORT.

FireEye заявила, что поэтому некоторые iOS приложения уязвимы даже после того, как Apple исправила уязвимость FREAK в iOS.

Исследователи проверили магазин приложений Google Play, чтобы определить, насколько актуальна уязвимость FREAK. Команда просканировала в общей сложности 10 985 популярных приложений с более чем миллионом загрузок каждого из них — и обнаружила, что 11,2% из них — 1228 приложений в целом, по-прежнему уязвимы, потому что они «используют уязвимую библиотеку OpenSSL для подключения к уязвимым серверам HTTPS».

В общей сложности, 664 из этих приложений используют встроенную библиотеку Android OpenSSL, а 554 полагаются на свои библиотеки.

Когда дело доходит до приложений iOS, исследователи безопасности утверждают, что 771 из 14079 — 5,5% популярных iOS приложений подключаются к уязвимым службам и, следовательно, уязвимы для FREAK-атак на версиях iOS ниже 8.2, которые были пропатчены. Кроме того, семь из этих 771 приложений имеют свои собственные уязвимые версии OpenSSL, и они остаются уязвимыми в iOS 8.2.

«Без необходимости ломать шифрование в реальном времени, злоумышленник может записывать слабо зашифрованный сетевой трафик, расшифровать его и получить доступ к конфиденциальной информации внутри», заявляет FireEye.

Например, FREAK-атака на приложение для шопинга может позволить украсть учетные данные и данные кредитной карты. Кроме того, «медицинские приложения, приложения продуктивности и финансовые приложения» также могут быть уязвимы.
Уязвимые приложения, упорядоченные по категориям безопасности и конфиденциальности, приведены ниже.

Общее число уязвимых Android и iOS приложений.

Уязвимые Androin-приложения и общее количество загрузок.