एंड्रॉइड ऐप डेवलपर्स को ड्रॉपबॉक्स के नवीनतम एसडीके में अपडेट करना चाहिए

एंड्रॉइड ऐप जो भंडारण के लिए ड्रॉपबॉक्स का उपयोग करते हैं और इसके एसडीके के पुराने संस्करण का उपयोग करके बनाए जाते हैं, हमले के लिए कमजोर होते हैं जो डेटा चोरी कर सकते हैं, हालांकि ड्रॉपबॉक्स ने आईबीएम सुरक्षा शोधकर्ताओं के मुताबिक एक फिक्स जारी किया है।

आईबीएम की एप्लीकेशन सिक्योरिटी रिसर्च टीम ने बुधवार को कहा था स्टोरेज सेवा से कनेक्ट होने वाले किसी अन्य व्यक्ति के फोन पर अपने ड्रॉपबॉक्स खाते को एंड्रॉइड ऐप से जोड़ने का एक तरीका मिला। सफल हमले के बाद, ऐप द्वारा अपलोड किया गया कोई भी डेटा हमलावर के ड्रॉपबॉक्स खाते में वितरित किया जाता है।

ड्रॉपबॉक्स एक ऐप को अपनी सेवा जोड़ने के लिए एक एसडीके (सॉफ्टवेयर डेवलपमेंट किट) प्रकाशित करता है। आईबीएम ने एक ब्लॉग पोस्ट में कहा, "ड्रॉपडइनइन" नामक दोष, ड्रॉपबॉक्स एसडीके संस्करण 1.5.4 से 1.6.1 और संस्करण 1.62 में तय किया गया था।

[आगे पढ़ें: अपने विंडोज पीसी से मैलवेयर कैसे निकालें]

हमला, गंभीर होने पर, बाहर करना आसान नहीं है। यह तब भी काम नहीं करेगा जब किसी व्यक्ति के पास अपने फोन पर ड्रॉपबॉक्स का अपना मोबाइल ऐप इंस्टॉल हो, और यह ड्रॉपबॉक्स खाते की पूरी सामग्री पर हमलावर पहुंच नहीं देगा।

ड्रॉपबॉक्स ने कहा कि यह समस्या प्रतीत नहीं होती है हैकर द्वारा डेटा तक पहुंचने के लिए शोषण किया गया है, और इसके एसडीके का उपयोग करने वाले अधिकांश लोकप्रिय ऐप्स को पैच किया गया है।

एक हमलावर को पहले ड्रॉपबॉक्स-सक्षम ऐप के लिए एक्सेस टोकन प्राप्त करना होगा, जिसे ऐप डाउनलोड करके और अधिकृत करने के द्वारा किया जा सकता है यह अपने ड्रॉपबॉक्स खाते के लिए है।

हमलावर को किसी को वेबसाइट या वेबपृष्ठ पर दुर्भावनापूर्ण कोड के साथ लुभाना चाहिए। कोड पीड़ित के फोन से एक बड़ा क्रिप्टोग्राफिक नंबर है, जिसे "नॉनस" कहा जाता है, जिसे किसी खाते को जोड़ने के लिए प्रमाणीकरण प्रक्रिया के हिस्से के रूप में उपयोग किया जाता है। एक्सेस कोड और नॉन के साथ, हमलावर अपने ड्रॉपबॉक्स खाते को पीड़ित के एंड्रॉइड ऐप से जोड़ सकता है।

एक तरह से उपयोगकर्ता यह बता सकते हैं कि उनके पास हमला किया गया है या नहीं, पीसी का उपयोग करके ड्रॉपबॉक्स में लॉग इन करके और फाइलें हैं या नहीं जिसे ड्रॉपबॉक्स का उपयोग करके मोबाइल ऐप द्वारा सहेजा जाना चाहिए था, आईबीएम ने लिखा था। यह कहा गया है कि ड्रॉपबॉक्स के एसडीके का उपयोग करने वाले कई एंड्रॉइड ऐप्स नहीं हैं, लेकिन माइक्रोसॉफ्ट के ऑफिस मोबाइल और एग्इलबिट्स 1 पासवर्ड सहित कुछ लोकप्रिय लोग करते हैं।

कुछ प्रभावित एंड्रॉइड ऐप्स को अपडेट नहीं किया जा सकता है, बचाव का सबसे अच्छा तरीका आईबीएम ने लिखा है कि हमले के खिलाफ ड्रॉपबॉक्स के मोबाइल संस्करण को डाउनलोड करना है, जो "शोषण असंभव बनाता है।"