搜索

[1311] 2017-07-05_关于多款Android平台APP存在阿里云OSS凭证泄露风险的安全公告

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2017-07-05_关于多款Android平台APP存在阿里云OSS凭证泄露风险的安全公告 关 于 多 款 A n d r o i d 平 台 A P P 存 在 阿 里 云 O S S 凭 证 泄 露 风 险 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 7 - 0 7 - 0 5 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 7 - 0 0 5 2 近 期 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 接 收 到 上 海 犇 众 信 息 技 术 有 限 公 司 报 告 的 多 款 安 卓 平 台 A P P 存 在 阿 里 云 O S S 凭 证 泄 露 漏 洞 ( C N V D - 2 0 1 7 - 0 6 3 6 6 、 0 9 7 7 4 、 1 0 1 8 7 、 1 1 6 6 6 、 1 1 8 1 1 ) 。 攻 击 者 利 用 漏 洞 可 获 得 A P P   O S S 的 控 制 权 ， 进 而 远 程 获 取 云 存 储 数 据 ， 并 拥 有 创 建 、 删 除 、 上 传 、 下 载 等 操 作 权 限 ， 对 相 关 A P P 服 务 运 营 方 构 成 较 为 严 重 的 信 息 泄 露 和 运 行 安 全 风 险 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 阿 里 云 对 象 存 储 服 务 ( O b j e c t   S t o r a g e   S e r v i c e , 简 称 O S S ) ， 是 阿 里 云 对 外 提 供 的 云 存 储 服 务 。 在 阿 里 云 官 方 文 档 中 明 确 指 出 ： “ 移 动 终 端 是 一 个 不 受 信 任 的 环 境 ， 把 a c c e s s K e y I d 和 a c c e s s K e y S e c r e t 直 接 保 存 在 终 端 用 来 加 签 请 求 ， 存 在 极 高 的 风 险 。 ” ， 同 时 阿 里 云 在 示 例 代 码 中 也 给 出 相 应 的 警 告 信 息 ， 示 例 代 码 如 下 ： 图   官 网 O S S 凭 证 信 息 示 例 代 码 根 据 C N V D 秘 书 处 核 验 结 果 ， 一 些 集 成 了 阿 里 云 O S S 的 A n d r o i d 平 台 A P P 在 使 用 S D K 的 时 候 只 是 简 单 复 制 了 阿 里 云 O S S 官 方 测 试 d e m o 代 码 ， 并 未 根 据 官 方 建 议 对 访 问 控 制 策 略 进 行 设 置 ， 直 接 将 a c c e s s K e y I d 和 a c c e s s K e y S e c r e 内 置 在 移 动 应 用 程 序 。 攻 击 者 通 过 对 A P P 进 行 脱 壳 逆 分 析 可 获 得 这 组 凭 证 后 ， 利 用 O S S 管 理 工 具 （ o s s u t i l ） 可 以 远 程 获 取 其 云 存 储 的 数 据 ， 并 拥 有 对 该 O S S 的 控 制 权 。 C N V D 对 相 关 漏 洞 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 漏 洞 影 响 使 用 阿 里 云 O S S 且 未 按 官 方 安 全 策 略 开 发 的 移 动 应 用 A P P 。 根 据 上 海 犇 众 公 司 报 告 和 C N V D 核 验 情 况 ， 已 有 8 款 应 用 较 为 广 泛 的 A P P 受 到 漏 洞 影 响 的 案 例 。 C N V D 已 向 相 关 A P P 开 发 方 或 运 营 管 理 方 通 报 漏 洞 信 息 ， 并 将 风 险 情 况 通 报 阿 里 云 公 司 。 三 、 漏 洞 修 复 建 议 三 、 漏 洞 修 复 建 议 根 据 阿 里 云 公 司 提 供 的 技 术 措 施 ， A P P 管 理 方 应 启 用 阿 里 云 权 限 管 理 机 制 包 括 访 问 控 制 （ R e s o u r c e   A c c e s s M a n a g e m e n t ， 简 称   R A M ） 和 安 全 凭 证 管 理 （ S e c u r i t y T o k e n   S e r v i c e ， 简 称   S T S ） ， 根 据 需 求 使 用 不 同 权 限 的 子 账 号 来 访 问 O S S ， 或 为 用 户 提 供 访 问 的 临 时 授 权 。 主 要 的 访 问 控 制 策 略 如 下 ： 1 、 不 使 用 主 账 号 访 问 O S S ； 2 、 读 写 分 离 ； 3 、 B u c k e t 权 限 隔 离 ； 4 、 使 用 S T S 的 临 时 凭 证 来 访 问 O S S 。 详 情 请 参 考 阿 里 云 官 方 提 供 的 安 全 开 发 建 议 ： h t t p s : / / m . a l i y u n . c o m / d o c / d o c u m e n t _ d e t a i l / 3 1 9 2 9 . h t m l h t t p s : / / m . a l i y u n . c o m / y u n q i / a r t i c l e s / 5 5 9 4 7 h t t p s : / / m . a l i y u n . c o m / d o c / d o c u m e n t _ d e t a i l / 3 1 9 2 9 . h t m l h t t p s : / / m . a l i y u n . c o m / d o c / d o c u m e n t _ d e t a i l / 2 8 6 4 2 . h t m l     附 ： 参 考 链 接 ： 附 ： 参 考 链 接 ： h t t p s : / / h e l p . a l i y u n . c o m / d o c u m e n t _ d e t a i l / 3 2 0 4 4 . h t m l ? s p m = 5 1 7 6 . d o c 3 2 0 1 0 . 6 . 6 8 8 . m q l b p r   （ 阿 里 云 官 方 对 于 a l i y u n   O S S   A n d r o i d   S D K 的 开 发 说 明 文 档 ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理