OASAM-IS: Intent Spoofing

Representa vulnerabilidades que tienen que ver con el envío de Intents arbitrarios a un componente que espera recibir otro tipo de intents. De esta manera el atacante utilizará los filters de la víctima para enviar datos que la víctima no espera y aprovecharse así de sus funcionalidades. Para que este tipo de vulnerabilidades tenga éxito, normalmente los componentes objetivo han de ser públicos o exportables, ya que de lo contrario no estarán disponibles para otras aplicaciones. Para ello, los componentes deben tener, en su definición, el flag “EXPORTED” en el fichero AndroidManifest.xml. Recordemos que los Broadcast Receivers pueden ser declarados en el AndroidManifest o en tiempo de ejecución.
Los siguientes controles aplican al presente apartado:


Referencia Test Resultado
OASAM-IS-001  Broadcast Injection.  Intent Spoofing en los componentes Broadcast.
OASAM-IS-002  Malicious Activity Launch.  Invocación arbitraria de componentes Activities.
OASAM-IS-003  Malicious Service Launch.  Invocación arbitraria de componentes Services.
OASAM-IS-004  Insecure Pending Intent Control.  Debilidades relativas al uso inseguro de Pending Intents.