コンテンツにスキップ

Insecure Register Receiver Flag

安全でない Register Receiver フラグ

説明

アプリケーションは、引数フラグを RECEIVER_EXPORTED に設定して registerReceiver メソッドを呼び出しています。これにより、BroadcastReceiver が外部アプリケーションに公開されるため悪用される可能性があり、不正アクセスやその他のセキュリティ上の脆弱性につながる恐れがあります。

context.registerReceiver(broadcastReceiver, intentFilter, RECEIVER_EXPORTED);

推奨事項

Android アプリケーションでレシーバーをエクスポートする際のリスクを軽減するため、エクスポートは必要不可欠な場合にのみ行ってください。さらに、潜在的なセキュリティの脆弱性を最小限に抑えるため、エクスポートされた BroadcastReceiver が必要な権限で保護されていることを確認してください。

 <receiver android:name=".MyReceiver" android:exported="true" android:permission="your_permission">
     <intent-filter>
         <action android:name="android.intent.action.ACTION1" />
         <action android:name="android.intent.action.ACTION2" />
     </intent-filter>
 </receiver>

リンク

標準

  • OWASP_MASVS_L1:
    • MSTG_PLATFORM_4
  • OWASP_MASVS_L2:
    • MSTG_PLATFORM_4
  • GDPR:
    • ART_32
  • PCI_STANDARDS:
    • REQ_2_2
    • REQ_6_2
    • REQ_6_3
    • REQ_11_3
  • OWASP_MASVS_v2_1:
    • MASVS_PLATFORM_1
  • SOC2_CONTROLS:
    • CC_2_1
    • CC_4_1
    • CC_6_1
    • CC_7_1
    • CC_7_2
    • CC_7_4
    • CC_7_5
  • HIPAA_CONTROLS:
    • SECURITY221
    • SECURITY212
    • SECURITY213