CWE-927 类漏洞列表 16

CWE：CWE-927 使用隐式意图（Implicit Intent）进行敏感通信 英文：Android 应用程序使用隐式意图（Implicit Intent）将敏感数据传输到其他应用程序。 由于隐式意图（Implicit Intent）未指定接收数据的具体应用程序，任何应用程序都可以通过为该意图使用意图过滤器（Intent Filter）来处理该意图。这可能导致不受信任的应用程序获取敏感数据。标准广播意图（Broadcast Intent）有两种变体：有序广播（Ordered）和粘性广播（Sticky）。有序广播意图（Ordered broadcast intents）按照接收器（Receivers）声明的优先级顺序，依次传递给一系列已注册的接收器。恶意接收器（Malicious receiver）可以给自己赋予高优先级，并通过阻止广播继续向链条下游传播来造成拒绝服务（Denial of Service）。此外，还存在恶意数据修改的可能性，因为接收器（Receiver）在将数据传递给下一个接收器之前，可能会修改意图（Intent）内的数据。下游组件无法断言数据在链条前段未被篡改。粘性广播意图（Sticky broadcast intents）在初始广播后仍然可访问。旧的粘性意图（Sticky intent）将在未来任何新注册接收器时再次广播，从而大大增加了随时间推移发生信息泄露的风险。此外，粘性广播（Sticky broadcasts）无法通过可能适用于其他类型意图的权限进行保护。另外，任何广播意图（Broadcast Intent）都可能包含一个引用接收组件通常无权访问的数据的 URI。意图发送者可以包含特殊权限，授予接收器对意图中包含的特定 URI 的读取或写入访问权限。拦截此意图的恶意接收器（Malicious receiver）也将获得这些权限，并能够读取或写入指定 URI 处的资源。