Unsicherer Download-Manager

OWASP-Kategorie: MASVS-NETWORK: Netzwerkkommunikation

Übersicht

DownloadManager ist ein Systemdienst, der in API-Ebene 9 eingeführt wurde. Sie verarbeitet langlaufende HTTP-Downloads und ermöglicht es Anwendungen, Dateien als Hintergrundaufgabe herunterzuladen. Die API verarbeitet HTTP-Interaktionen und versucht, Downloads nach Fehlern oder bei Verbindungsänderungen und Systemneustarts noch einmal auszuführen.

Der DownloadManager weist sicherheitsrelevante Schwächen auf, die ihn zu einer unsicheren Option für die Verwaltung von Downloads in Android-Anwendungen machen.

(1) CVEs beim Downloadanbieter

2018 wurden beim Download Provider drei CVEs gefunden und gepatcht. Im Folgenden finden Sie eine Zusammenfassung (siehe technische Details).

  • Umgehung der Berechtigungen des Downloadanbieters: Ohne erteilte Berechtigungen könnte eine schädliche App alle Einträge vom Downloadanbieter abrufen, die potenziell vertrauliche Informationen wie Dateinamen, Beschreibungen, Titel, Pfade, URLs sowie vollständige Lese-/Schreibberechtigungen für alle heruntergeladenen Dateien enthalten können. Eine schädliche App könnte im Hintergrund ausgeführt werden, alle Downloads überwachen und ihren Inhalt aus der Ferne weitergeben oder die Dateien direkt ändern, bevor der rechtmäßige Antragsteller darauf zugreift. Dies kann zu einem Dienstausfall für Nutzer bei Kernanwendungen führen, einschließlich der Unfähigkeit, Updates herunterzuladen.
  • SQL-Injection des Downloadanbieters: Über eine SQL-Injection-Sicherheitslücke kann eine schädliche Anwendung ohne Berechtigungen alle Einträge vom Downloadanbieter abrufen. Außerdem könnten Anwendungen mit eingeschränkten Berechtigungen wie android.permission.INTERNET über einen anderen URI auf den gesamten Datenbankinhalt zugreifen. Potenziell vertrauliche Informationen wie Dateinamen, Beschreibungen, Titel, Pfade und URLs können abgerufen werden. Je nach Berechtigungen ist möglicherweise auch der Zugriff auf heruntergeladene Inhalte möglich.
  • Offenlegung von Informationen in Anfrageheadern von Downloadanbietern: Eine schädliche Anwendung mit der Berechtigung android.permission.INTERNET kann alle Einträge aus der Tabelle „Anfrageheader von Downloadanbietern“ abrufen. Diese Header können vertrauliche Informationen wie Sitzungscookies oder Authentifizierungsheader für Downloads enthalten, die unter anderem über den Android-Browser oder Google Chrome gestartet wurden. So kann ein Angreifer den Nutzer auf jeder Plattform, von der vertrauliche Nutzerdaten abgerufen wurden, imitieren.

(2) Gefährliche Berechtigungen

Der DownloadManager erfordert bei API-Levels unter 29 gefährliche Berechtigungen – android.permission.WRITE_EXTERNAL_STORAGE. Ab API-Ebene 29 sind keine android.permission.WRITE_EXTERNAL_STORAGE-Berechtigungen erforderlich. Der URI muss aber auf einen Pfad in den Verzeichnissen der Anwendung oder auf einen Pfad im obersten Verzeichnis „Downloads“ verweisen.

(3) Abhängigkeit von Uri.parse()

DownloadManager verwendet die Methode Uri.parse(), um den Speicherort des angeforderten Downloads zu parsen. Im Interesse der Leistung wendet die Klasse Uri wenig bis gar keine Validierung nicht vertrauenswürdiger Eingaben an.

Positiv beeinflussen

Die Verwendung von DownloadManager kann zu Sicherheitslücken führen, wenn die WRITE-Berechtigungen für den externen Speicher ausgenutzt werden. Da die Berechtigung „android.permission.WRITE_EXTERNAL_STORAGE“ einen umfassenden Zugriff auf den externen Speicher ermöglicht, können Angreifer Dateien und Downloads unbemerkt ändern, potenziell schädliche Apps installieren, den Dienst für Haupt-Apps verweigern oder Apps zum Absturz bringen. Böswillige Akteure könnten auch manipulieren, was an Uri.parse() gesendet wird, um den Nutzer dazu zu bringen, eine schädliche Datei herunterzuladen.

Abwehrmaßnahmen

Anstatt DownloadManager zu verwenden, richten Sie Downloads direkt in Ihrer Anwendung mit einem HTTP-Client (z. B. Cronet), einem Prozessplaner/-manager und einer Möglichkeit ein, die Wiederholungsversuche bei Netzwerkausfall zu gewährleisten. Die Dokumentation der Bibliothek enthält einen Link zu einer Beispiel-App sowie eine Anleitung zur Implementierung.

Wenn für Ihre Anwendung die Möglichkeit erforderlich ist, die Prozessplanung zu verwalten, Downloads im Hintergrund auszuführen oder nach einem Netzwerkverlust einen erneuten Verbindungsversuch zu starten, sollten Sie WorkManager und ForegroundServices einschließen.

Den folgenden Beispielcode zum Einrichten eines Downloads mit Cronet finden Sie aus dem Cronet-Codelab.

Kotlin

override suspend fun downloadImage(url: String): ImageDownloaderResult {
   val startNanoTime = System.nanoTime()
   return suspendCoroutine {
       cont ->
       val request = engine.newUrlRequestBuilder(url, object: ReadToMemoryCronetCallback() {
       override fun onSucceeded(
           request: UrlRequest,
           info: UrlResponseInfo,
           bodyBytes: ByteArray) {
           cont.resume(ImageDownloaderResult(
               successful = true,
               blob = bodyBytes,
               latency = Duration.ofNanos(System.nanoTime() - startNanoTime),
               wasCached = info.wasCached(),
               downloaderRef = this@CronetImageDownloader))
       }
       override fun onFailed(
           request: UrlRequest,
           info: UrlResponseInfo,
           error: CronetException
       ) {
           Log.w(LOGGER_TAG, "Cronet download failed!", error)
           cont.resume(ImageDownloaderResult(
               successful = false,
               blob = ByteArray(0),
               latency = Duration.ZERO,
               wasCached = info.wasCached(),
               downloaderRef = this@CronetImageDownloader))
       }
   }, executor)
       request.build().start()
   }
}

Java

@Override
public CompletableFuture<ImageDownloaderResult> downloadImage(String url) {
    long startNanoTime = System.nanoTime();
    return CompletableFuture.supplyAsync(() -> {
        UrlRequest.Builder requestBuilder = engine.newUrlRequestBuilder(url, new ReadToMemoryCronetCallback() {
            @Override
            public void onSucceeded(UrlRequest request, UrlResponseInfo info, byte[] bodyBytes) {
                return ImageDownloaderResult.builder()
                        .successful(true)
                        .blob(bodyBytes)
                        .latency(Duration.ofNanos(System.nanoTime() - startNanoTime))
                        .wasCached(info.wasCached())
                        .downloaderRef(CronetImageDownloader.this)
                        .build();
            }
            @Override
            public void onFailed(UrlRequest request, UrlResponseInfo info, CronetException error) {
                Log.w(LOGGER_TAG, "Cronet download failed!", error);
                return ImageDownloaderResult.builder()
                        .successful(false)
                        .blob(new byte[0])
                        .latency(Duration.ZERO)
                        .wasCached(info.wasCached())
                        .downloaderRef(CronetImageDownloader.this)
                        .build();
            }
        }, executor);
        UrlRequest urlRequest = requestBuilder.build();
        urlRequest.start();
        return urlRequest.getResult();
    });
}

Ressourcen