Notification Spoofing
Spoofing de notificaciones
Descripción
La aplicación expone una entrada para recibir notificaciones no autorizadas, exponiendo a los usuarios a phishing, acceso no autorizado o incluso Remote Code Execution.
Los ataques de notificaciones han sido aprovechados en el pasado por aplicaciones maliciosas como WolfRAT y Mandrake.
Una causa común de la exposición a notificaciones no autorizadas es la falta de permisos o permisos inseguros en los servicios de Firebase o notificaciones push de terceros como PushHandlerActivity de Cordova.
Recomendación
Para evitar notificaciones no autorizadas, asegúrese de implementar las siguientes protecciones:
- Los servicios y actividades de manejo de notificaciones deben restringirse con los permisos adecuados y no deben exportarse ni ser navegables (browsable) a menos que sea necesario.
- Asegúrese de que los permisos estén configurados con niveles de protección seguros y apropiados para el contexto de la aplicación.
Por ejemplo, si la actividad del manejador de notificaciones es com.adobe.phonegap.push.PushHandlerActivity:
<activity android:name="com.adobe.phonegap.push.PushHandlerActivity"
android:exported="false"/>
Enlaces
Estándares
- OWASP_MASVS_L1:
- MSTG_AUTH_12
- OWASP_MASVS_L2:
- MSTG_AUTH_12
- CWE_TOP_25:
- CWE_20
- CWE_276
- GDPR:
- ART_5
- ART_32
- PCI_STANDARDS:
- REQ_6_2
- REQ_6_3
- REQ_7_3
- REQ_11_3
- SOC2_CONTROLS:
- CC_2_1
- CC_4_1
- CC_7_1
- CC_7_2
- CC_7_4
- CC_7_5
- CNIL_FOR_EDITORS:
- EDITORS_4_1_1
- HIPAA_CONTROLS:
- SECURITY221
- SECURITY212
- SECURITY213