Content Provider URI Injection

La creación de una instrucción de consulta de proveedor de contenidos que contenga una entrada de usuario puede permitir a un usuario malintencionado acceder a registros no autorizados.

Las vulnerabilidades de inyección de cadenas de consulta se producen cuando:

1. Los datos entran en un programa desde un origen que no es de confianza.



2. Los datos se utilizan para crear de forma dinámica un URI de consulta de proveedor de contenidos.



Los proveedores de contenido para Android permiten a los desarrolladores escribir consultas sin SQL, simplemente generando URI de proveedor de contenido. Los URI de consultas de proveedor de contenido son vulnerables a los ataques de inyección, por lo que los desarrolladores deberían evitar el uso de cadenas concatenadas con entradas de datos contaminados para generar el URI si no se han asegurado antes de que los metacaracteres se han validado o codificado correctamente.

Ejemplo 1: en una aplicación que expone varios proveedores de contenido en URI:

content://my.authority/messagescontent://my.authority/messages/123content://my.authority/messages/deleted

Si los desarrolladores generan cadenas concatenadas de URI de consulta, los usuarios malintencionados podrán incluir en la ruta barras diagonales u otros metacaracteres de URI que cambiarán el significado de la consulta. En el siguiente fragmento de código, un atacante puede invocar a content://my.authority/messages/deleted proporcionando un código msgId con el valor deleted:

// "msgId" is submitted by users
Uri dataUri = Uri.parse(WeatherContentProvider.CONTENT_URI + "/" + msgId);
Cursor wCursor1 = getContentResolver().query(dataUri, null, null, null, null);