Android Bad Practices: Missing Component Permission

ABSTRACT

程序未為該公共組件明確分配訪問權限。

EXPLANATION

任何應用程序都能訪問在顯式定義中未明確分配訪問權限的公共組件。

Android 應用程序中活動、接收者和服務組件的 exported 屬性的默認值取決于 intent-filter 是否存在。如果存在 intent-filter，說明該組件可供外部使用。因此應將 exported 屬性設為 true。這樣該組件就能被 Android 平臺上的其他任何應用程序訪問。

例 1：以下是一個存在 intent-filter 且未設置明確訪問權限的 Android 活動示例。

 <activity android:name=".AndroidActivity"/> 

   <intent-filter android:label="activityName"/> 

    <action android:name=".someFunAction"/> 

   </intent-filter> 

    ...

 </activity> 

該活動可能被惡意應用程序利用。

REFERENCES

[1] Standards Mapping - OWASP Top 10 2004 - (OWASP 2004) A2 Broken Access Control

[2] Standards Mapping - OWASP Top 10 2010 - (OWASP 2010) A6 Security Misconfiguration

[3] Standards Mapping - FIPS200 - (FISMA) AC

[4] Standards Mapping - Common Weakness Enumeration - (CWE) CWE ID 265

[5] Jesse Burns Developing Secure Mobile Applications for Android

[6] Standards Mapping - SANS Top 25 2009 - (SANS 2009) Improper Access Control - CWE ID 285

[7] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 - (PCI 1.1) Requirement 6.5.10

[8] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 - (PCI 1.2) Requirement 7.1.1

[9] The AndroidManifest.xml File

[10] William Enck, Machigar Ongtang, and Patrick McDaniel Understanding Android Security

[11] William Enck and Patrick McDaniel Understanding Android's Security Framework

[12] Using Permissions

97av