Ευπάθεια "AutoSpill": Διαρροή διαπιστευτηρίων από δημοφιλείς διαχειριστές κωδικών στο Android

Σύμφωνα με έρευνα που παρουσιάστηκε στο Black Hat Europe από ερευνητές του πανεπιστημίου IIIT Hyderabad, διάφορες δημοφιλείς εφαρμογές διαχείρισης κωδικών πρόσβασης για κινητά αντιμετωπίζουν ένα πρόβλημα ασφαλείας που ονομάζεται "AutoSpill". Η ευπάθεια αφορά τη λειτουργία αυτόματης συμπλήρωσης στις εφαρμογές Android και μπορεί να εκθέσει τα διαπιστευτήρια των χρηστών αφού παρακάμπτει το ασφαλές μηχανισμό αυτόματης συμπλήρωσης του Android.

Οι ερευνητές ανέφεραν ότι όταν μια εφαρμογή Android φορτώνει μια σελίδα σύνδεσης στο WebView, οι διαχειριστές κωδικών πρόσβασης μπορεί να "χαθούν" σχετικά με το πού πρέπει να στοχεύσουν τις πληροφορίες σύνδεσης του χρήστη και, αντί αυτού, να εκθέσουν τα διαπιστευτήριά τους στα φυσικά πεδία της βασικής εφαρμογής. Αυτό συμβαίνει όταν η αυτόματη συμπλήρωση ενεργοποιείται εντός του WebView, του προεγκατεστημένου κινητού κινητού περιηγητή από τη Google.

Οι ερευνητές ελέγχοντας την ευπάθεια στις δημοφιλέστερες εφαρμογές διαχείρισης κωδικών πρόσβασης, όπως το 1Password, το LastPass, το Keeper και το Enpass, σε νέες και ενημερωμένες συσκευές Android, διαπίστωσαν ότι οι περισσότερες εφαρμογές ήταν ευπαθείς στη διαρροή διαπιστευτηρίων. Ενημερώθηκαν οι εταιρείες, συμπεριλαμβανομένης της Google και των εμπλεκομένων διαχειριστών κωδικών πρόσβασης.

Οι ερευνητές εξετάζουν επίσης το ενδεχόμενο της εξόρυξης διαπιστευτηρίων από την εφαρμογή προς το WebView, ενώ διερευνούν αν η ευπάθεια μπορεί να αντιγραφεί στο iOS. Εταιρίες όπως η 1Password αναφέρουν ότι εργάζονται σε διορθώσεις για το πρόβλημα, ενώ άλλες όπως η Keeper αντιδρούν στις κατηγορίες και υποστηρίζουν ότι έχουν μέτρα προστασίας για τους χρήστες τους.