Notification Spoofing
通知欺骗
描述
应用程序暴露了一个接收未经授权通知的输入，使用户面临网络钓鱼、未经授权的访问甚至 Remote Code Execution 的风险。
WolfRAT 和 Mandrake 等恶意应用程序过去曾利用过通知攻击。
未经授权通知暴露的一个常见原因是 Firebase 服务或 Cordova PushHandlerActivity 等第三方推送通知上的权限不安全或缺失。
建议
为防止未经授权的通知，请确保实施以下保护措施：
- 通知处理服务和活动应受适当权限的限制，并且除非必要，否则不应被导出/可浏览（browsable）。
- 确保权限设置有适合应用程序上下文的安全保护级别。
例如，如果通知处理程序活动是 com.adobe.phonegap.push.PushHandlerActivity：
<activity android:name="com.adobe.phonegap.push.PushHandlerActivity"
android:exported="false"/>
链接
标准
- OWASP_MASVS_L1:
- MSTG_AUTH_12
- OWASP_MASVS_L2:
- MSTG_AUTH_12
- CWE_TOP_25:
- CWE_20
- CWE_276
- GDPR:
- ART_5
- ART_32
- PCI_STANDARDS:
- REQ_6_2
- REQ_6_3
- REQ_7_3
- REQ_11_3
- SOC2_CONTROLS:
- CC_2_1
- CC_4_1
- CC_7_1
- CC_7_2
- CC_7_4
- CC_7_5
- CNIL_FOR_EDITORS:
- EDITORS_4_1_1
- HIPAA_CONTROLS:
- SECURITY221
- SECURITY212
- SECURITY213