Beveiligingskwetsbaarheid door omzeiling van Same Origin Policy in Android Browser (CVE-2014-6041)
17-9-2015 - 1 min leestijd
Bijgewerkt: 4-6-2021
Er is een ernstige beveiligingskwetsbaarheid in de Android AOSP-browser bekendgemaakt: http://www.rafayhackingarticles.net/2014/08/android-browser-same-origin-policy.html
Het Psiphon-team heeft vastgesteld dat de ingebouwde browser ("alleen-browsermodus") in onze Psiphon-app is getroffen, op Android-versies 3.0 tot 4.3, door het gebruik van de Android AOSP-browser via het WebView-component. Er is geen bekende oplossing voor deze beveiligingskwetsbaarheid anders dan het uitschakelen van JavaScript in de WebView-componenten van onze ingebouwde browser.
We brengen Psiphon voor Android versie 62 uit, waarin JavaScript in de ingebouwde browser op deze Android-versies wordt uitgeschakeld. We zijn van plan deze beperking te handhaven totdat er een minder ingrijpende, effectieve oplossing beschikbaar komt; of de Android AOSP-browser op grote schaal is gepatcht.