跳转至

Insecure Register Receiver Flag

不安全的 Register Receiver 标志

描述

该应用程序在调用 registerReceiver 方法时，将 flags 参数设置为 RECEIVER_EXPORTED。这具有可利用性，因为它将 BroadcastReceiver 暴露给了外部应用程序，从而可能导致未授权访问和其他安全漏洞。

context.registerReceiver(broadcastReceiver, intentFilter, RECEIVER_EXPORTED);

建议

为了降低在 Android 应用程序中导出接收器所带来的风险，仅在绝对必要时才进行导出。此外，确保被导出的 BroadcastReceiver 受到必要权限的保护，以最大程度地减少潜在的安全漏洞。

 <receiver android:name=".MyReceiver" android:exported="true" android:permission="your_permission">
     <intent-filter>
         <action android:name="android.intent.action.ACTION1" />
         <action android:name="android.intent.action.ACTION2" />
     </intent-filter>
 </receiver>

链接

标准

  • OWASP_MASVS_L1:
    • MSTG_PLATFORM_4
  • OWASP_MASVS_L2:
    • MSTG_PLATFORM_4
  • GDPR:
    • ART_32
  • PCI_STANDARDS:
    • REQ_2_2
    • REQ_6_2
    • REQ_6_3
    • REQ_11_3
  • OWASP_MASVS_v2_1:
    • MASVS_PLATFORM_1
  • SOC2_CONTROLS:
    • CC_2_1
    • CC_4_1
    • CC_6_1
    • CC_7_1
    • CC_7_2
    • CC_7_4
    • CC_7_5
  • HIPAA_CONTROLS:
    • SECURITY221
    • SECURITY212
    • SECURITY213