Google opdagede episk sårbarhed i Epics Fortnite Android Installer

Google har afsløret, at det opdagede en alvorlig sårbarhed i Epics første Fortnight-installationsprogram til Android, hvilket muligvis tillader enhver app med WRITE_EXTERNAL_STORAGE-tilladelse at erstatte APK umiddelbart efter download er afsluttet, og fingeraftrykket er bekræftet.

I henhold til en udstationeringspost fra en Googler tillod fejlen cyberkriminelle at 'let' udføre et angreb ved hjælp af en FileObserver, hvorefter Fortnite Installer fortsætter med at installere den udskiftede (falske) APK.

Som det kan ses af tråden, meddelte Google tilsyneladende Epic om sin opdagelse den 15. august, hvorefter Epic havde 90 dage til at lappe fejlene i overensstemmelse med standard industripraksis. Som det viser sig, blev sårbarheden opdateret i løbet af blot et par dage, hvor virksomhedsrepræsentanten meddelte, at plasteret blev brugt den 17..

Ifølge Epic InfoSec vil patch'en ændre standard-APK-lagringsmappen fra ekstern til intern lagring og derved hjælpe med at forhindre Man-in-the-Disk (MITD) -angreb under installationsflowet.

Hvad der er interessant er, at Epic stadig anmodede Google om ikke at afsløre fejlen i hele 90-dagesperioden, så dets brugere har tid til at patch deres installatører. Google kom dog ikke om bord med tidsrammen og endte med at åbne tråden for offentligheden kun syv dage efter, at programrettelsen blev implementeret, i tråd med virksomhedens standardoplysningspraksis.

Epic Games CEO Tim Sweeney udtrykte sin utilfredshed over Googles tidlige offentliggørelse og kaldte det en 'uansvarlig' beslutning, der kan true uskyldige brugere. I en erklæring til Android Central sagde han, “Det var uansvarligt af Google at offentliggøre de tekniske detaljer om fejlen så hurtigt, mens mange installationer endnu ikke var opdateret og stadig var sårbare”.

“Googles indsats for sikkerhedsanalyse er værdsat og gavner Android-platformen, men en virksomhed, der er så stærk som Google, bør øve mere ansvarlig offentliggørelsestidspunkt end dette og ikke bringe brugere i fare i løbet af sin mod-PR-indsats mod Epics distribution af Fortnite uden for Google Spil"

For at forstå hvorfor Epic og Google er så fuldstændig utilfredse med hinanden lige nu, skal man kende den nylige baggrundshistorie omkring lanceringen af ​​Fortnite på Android. Selv da spillet endelig blev lanceret på Android længe efter debut på iOS, besluttede Epic og Tencent at distribuere spillet via deres egen platform snarere end via Google Play Butik..

Det var stort set en forretningsbeslutning for spillets udgivere, der ikke ønskede at dele indtægterne fra spillet med Google, som tager 30 procent af alle køb foretaget via Play Butik. Det siger sig selv, at teknologigiganten ikke blev underholdt af beslutningen, da det tilsyneladende står til at miste 50 millioner dollars alene i år på grund af situationen.