アンドロイド・アプリケーションは、機密データを他のアプリケーションに送信するために暗黙のインテントを使用する。
暗黙のインテントは、データを受信する特定のアプリケーションを指定しない ので、そのインテントのインテント・フィルタを使用することで、どのアプリケーション でもインテントを処理できる。これにより、信頼できないアプリケーショ ンが機密データを取得することができる。標準のブロードキャストインテントには、orderedとstickyの2つのバリエーションがある。
順序付きブロードキャストインテントは、レシーバーによって宣言された優先順 位で、一連の登録レシーバーに配信される。悪意のあるレシーバーは、それ自体に高い優先順位を与え、ブロードキャ ストがさらに連鎖して伝搬するのを止めることで、サービス拒否を引き起こす ことができる。また、レシーバーが次のレシーバーに渡す前にIntent内のデータを変更する可能性もあるため、悪意のあるデータ変更の可能性もある。ダウンストリームコンポーネントには、チェーン の早い段階でデータが変更されていないことを保証する方法がない。
スティッキーブロードキャストインテントは、最初のブロードキャスト後もアクセス可能なままである。古いスティッキーインテントは、将来それを登録する新しいレシー バーに再度ブロードキャストされる。また、スティッキーブロードキャストは、他の種類のインテントに適用されるパーミッションで保護することはできません。
加えて、ブロードキャストインテントは、受信側コンポーネントが通常アクセ スする権限を持っていないデータを参照するURIを含むかもしれない。インテントの送信者は、受信者にインテントに含まれる特定のURIへの 読み取りまたは書き込みアクセスを許可する特別な特権を含むことができる。このインテントを傍受した悪意のある受信者も、その特権を獲得し、指 定されたURIのリソースを読み書きできるようになる。
The Android application uses an implicit intent for transmitting sensitive data to other applications.
Since an implicit intent does not specify a particular application to receive the data, any application can process the intent by using an Intent Filter for that intent. This can allow untrusted applications to obtain sensitive data. There are two variations on the standard broadcast intent, ordered and sticky.
Ordered broadcast intents are delivered to a series of registered receivers in order of priority as declared by the Receivers. A malicious receiver can give itself a high priority and cause a denial of service by stopping the broadcast from propagating further down the chain. There is also the possibility of malicious data modification, as a receiver may also alter the data within the Intent before passing it on to the next receiver. The downstream components have no way of asserting that the data has not been altered earlier in the chain.
Sticky broadcast intents remain accessible after the initial broadcast. An old sticky intent will be broadcast again to any new receivers that register for it in the future, greatly increasing the chances of information exposure over time. Also, sticky broadcasts cannot be protected by permissions that may apply to other kinds of intents.
In addition, any broadcast intent may include a URI that references data that the receiving component does not normally have the privileges to access. The sender of the intent can include special privileges that grant the receiver read or write access to the specific URI included in the intent. A malicious receiver that intercepts this intent will also gain those privileges and be able to read or write the resource at the specified URI.