Reino: Time and State

La computación distribuida trata sobre el tiempo y el estado. Es decir, para que más de un componente se comunique, debe compartir el estado, y todo esto requiere tiempo.

La mayoría de programadores antropomorfizan su trabajo. Piensan en un único puesto de control que lleva a cabo todo el programa de igual forma que harían ellos si tuviesen que realizar la tarea ellos mismos. Sin embargo, los equipos modernos cambian entre tareas con gran rapidez y, en una CPU múltiple con varios núcleos, o en los sistemas distribuidos, dos eventos pueden llevarse a cabo a la vez exactamente. Estos defectos hacen que sea urgente que se unan posturas entre el modelo de los programadores sobre cómo un programa se ejecuta y lo que sucede en la realidad. Dichos defectos están relacionados con interacciones inesperadas entre los puestos, los procesos, el tiempo y la información. Estas interacciones se producen a través del estado compartido: semáforos, variables, el sistema de archivos y, básicamente, cualquier cosa que pueda guardar información.

Race Condition: App Download

Java/JSP

Abstract

La aplicación instala un formulario de aplicación desde el almacenamiento compartido, lo que permite que las aplicaciones maliciosas sustituyan el paquete que se va a instalar.

Explanation

La aplicación instala un formulario de aplicación desde el almacenamiento compartido en el que puede escribir cualquier aplicación con permisos de lectura/escritura de almacenamiento externo. Debido a una condición de carrera, la aplicación maliciosa que supervise la carpeta podrá cambiar un archivo APK descargado por otro archivo APK, el cual se usará en el proceso de instalación en lugar del archivo legítimo.

Ejemplo 1: El código siguiente instala aplicaciones desde el almacenamiento compartido:


    Intent intent = new Intent(Intent.ACTION_VIEW);
    intent.setDataAndType(Uri.fromFile(new File(Environment.getExternalStorageDirectory() + "/download/" + "app.apk")), "application/vnd.android.package-archive");
    intent.setFlags(Intent.FLAG_ACTIVITY_NEW_TASK);
    startActivity(intent);

References

[1] Standards Mapping - Common Weakness Enumeration CWE ID 362, CWE ID 367

[2] Standards Mapping - Common Weakness Enumeration Top 25 2022 [22] CWE ID 362

[3] Standards Mapping - Common Weakness Enumeration Top 25 2023 [21] CWE ID 362

[4] Standards Mapping - DISA Control Correlation Identifier Version 2 CCI-000366, CCI-003178

[5] Standards Mapping - General Data Protection Regulation (GDPR) Indirect Access to Sensitive Data

[6] Standards Mapping - Motor Industry Software Reliability Association (MISRA) C Guidelines 2012 Rule 1.3

[7] Standards Mapping - NIST Special Publication 800-53 Revision 4 CM-6 Configuration Settings (P1), SA-11 Developer Security Testing and Evaluation (P1)

[8] Standards Mapping - NIST Special Publication 800-53 Revision 5 CM-6 Configuration Settings, SA-11 Developer Testing and Evaluation

[9] Standards Mapping - OWASP Application Security Verification Standard 4.0 1.11.2 Business Logic Architectural Requirements (L2 L3), 1.11.3 Business Logic Architectural Requirements (L3), 11.1.6 Business Logic Security Requirements (L2 L3)

[10] Standards Mapping - OWASP Mobile Application Security Verification Standard 2.0 MASVS-RESILIENCE-2

[11] Standards Mapping - OWASP Top 10 2021 A04 Insecure Design

[12] Standards Mapping - Payment Card Industry Data Security Standard Version 3.0 Requirement 6.5.6

[13] Standards Mapping - Payment Card Industry Data Security Standard Version 3.1 Requirement 6.5.6

[14] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2 Requirement 6.5.6

[15] Standards Mapping - Payment Card Industry Data Security Standard Version 3.2.1 Requirement 6.5.6

[16] Standards Mapping - Payment Card Industry Data Security Standard Version 4.0 Requirement 6.2.4

[17] Standards Mapping - Payment Card Industry Software Security Framework 1.0 Control Objective 4.2 - Critical Asset Protection

[18] Standards Mapping - Payment Card Industry Software Security Framework 1.1 Control Objective 4.2 - Critical Asset Protection, Control Objective B.3.3 - Terminal Software Attack Mitigation

[19] Standards Mapping - Payment Card Industry Software Security Framework 1.2 Control Objective 4.2 - Critical Asset Protection, Control Objective B.3.3 - Terminal Software Attack Mitigation

[20] Standards Mapping - SANS Top 25 2009 Insecure Interaction - CWE ID 362

[21] Standards Mapping - SANS Top 25 2010 Insecure Interaction - CWE ID 362

[22] Standards Mapping - Security Technical Implementation Guide Version 3.1 APP3630.1 CAT II

[23] Standards Mapping - Security Technical Implementation Guide Version 3.4 APP3630.1 CAT II

[24] Standards Mapping - Security Technical Implementation Guide Version 3.5 APP3630.1 CAT II

[25] Standards Mapping - Security Technical Implementation Guide Version 3.6 APP3630.1 CAT II

[26] Standards Mapping - Security Technical Implementation Guide Version 3.7 APP3630.1 CAT II

[27] Standards Mapping - Security Technical Implementation Guide Version 3.9 APP3630.1 CAT II

[28] Standards Mapping - Security Technical Implementation Guide Version 3.10 APP3630.1 CAT II

[29] Standards Mapping - Security Technical Implementation Guide Version 4.2 APSC-DV-001995 CAT II

[30] Standards Mapping - Security Technical Implementation Guide Version 4.3 APSC-DV-001995 CAT II

[31] Standards Mapping - Security Technical Implementation Guide Version 4.4 APSC-DV-001995 CAT II

[32] Standards Mapping - Security Technical Implementation Guide Version 4.5 APSC-DV-001995 CAT II

[33] Standards Mapping - Security Technical Implementation Guide Version 4.6 APSC-DV-001995 CAT II

[34] Standards Mapping - Security Technical Implementation Guide Version 4.7 APSC-DV-001995 CAT II

[35] Standards Mapping - Security Technical Implementation Guide Version 4.8 APSC-DV-001995 CAT II

[36] Standards Mapping - Security Technical Implementation Guide Version 4.9 APSC-DV-001995 CAT II

[37] Standards Mapping - Security Technical Implementation Guide Version 4.10 APSC-DV-001995 CAT II

[38] Standards Mapping - Security Technical Implementation Guide Version 4.11 APSC-DV-001995 CAT II

[39] Standards Mapping - Security Technical Implementation Guide Version 4.1 APSC-DV-001995 CAT II

[40] Standards Mapping - Security Technical Implementation Guide Version 5.1 APSC-DV-001995 CAT II

[41] Standards Mapping - Security Technical Implementation Guide Version 5.2 APSC-DV-001995 CAT II

[42] Standards Mapping - Security Technical Implementation Guide Version 5.3 APSC-DV-001995 CAT II

[43] Standards Mapping - Security Technical Implementation Guide Version 6.1 APSC-DV-001995 CAT II

desc.dataflow.java.race_condition_app_download