Shelter: Unzureichende Authentifizierung in exportierter Activity erlaubt auth_key-Registrierung
Shelter versionCode 445 (F-Droid-Version 1.9.1) exportiert eine Activity, die Intents von beliebigen Apps ohne Berechtigung annimmt. Laut einem Drittanbieter-Advisory kann eine lokale App ohne Berechtigungen auf einer nie registrierten Shelter-Instanz einen eigenen auth_key hinterlegen und danach den Binder-Dienst der App nutzen sowie den Präferenzstatus ändern. Sobald ein Schlüssel registriert ist, wird der gespeicherte Schlüssel verlangt, weshalb das Hauptrisiko bei der Ersteinrichtung liegt. Der NVD-Score von 9.8 setzt Netzwerkzugriff voraus, was das Advisory nicht bestätigt; das Risiko sollte daher als Bedrohung durch andere Apps auf demselben Gerät behandelt werden.
PeterCxy · Shelter
