Amazon Alexa

مشخصات اصلی برنامه و اطلاعات توسعه‌دهنده

نام برنامه:Amazon Alexaنام بسته نرم‌افزاری:com.amazon.dee.appتعداد کاربر فعال:۲۰۰۰۰تاریخ آخرین به‌روزرسانی برنامه:۱۹ فروردین ۱۴۰۱دسته‌بندی برنامه:سبک زندگینام توسعه‌دهنده:Amazon Mobile LLC

خلاصه بررسی امنیتی

۱۳ مورد آسیب‌پذیری

برپایه ۱۰ ضعف شناخته شده براساس OWSAP در برنامه‌های موبایلی

۹۲ مورد ریسک امنیتی

ضعف امنیتی در پیاده‌سازی توابع، کارکرد و تنظیمات برنامه

۱۳۴ مورد ضعف ارتباطی

ضعف امنیتی در سرورهای ارتباطی و رابط برنامه‌نویسی کاربردی

فاقد آلودگی بدافزاری

براساس بررسی ۷۴ موتور آنتی‌ویروس در سرویس ویروس‌توتال

جزئیات بررسی

خلاصه اطلاعات فایل برنامه

نام بسته نرم‌افزاری:com.amazon.dee.appنسخه برنامه:2.2.455012.0حجم فایل:95.63MBامضای دیجیتال فایل:استانداردچک‌سام فایل:6f109c136b9c1b5b608d8e2ded26c945نتیجه ویروس‌توتال:۰ آلودگی از ۷۴ مورد اسکن

ریسک‌های امنیتی در میزان دسترسی‌های مورد استفاده در برنامه

amazon.permission.COLLECT_METRICSناشناختهamazon.permission.PRIVACY_MODEناشناختهamazon.speech.permission.ACCESS_WAKEWORDناشناختهamazon.speech.permission.CONNECT_WITH_SIMناشناختهamazon.speech.permission.SEND_ALEXA_DIRECTIVEناشناختهamazon.speech.permission.SEND_DATA_TO_ALEXAناشناختهamazon.speech.sim.comms.readAccessناشناختهandroid.permission.ACCESS_BACKGROUND_LOCATIONزیادیافتن موقعیت تقریبی براساس شبکهزیاددسترسی به موقعیت دقیق براساس شبکه و مکان‌یابزیادandroid.permission.ACCESS_MEDIA_LOCATIONزیادمشاهده اطلاعات مربوط به اتصال شبکهکممشاهده اطلاعات مربوط به اتصال وایفایکمandroid.permission.ANSWER_PHONE_CALLSزیادایجاد حساب‌ها و تنظیم گذرواژ‌ه‌هازیاددسترسی به بلوتوثکماجازه مدیریت بلوتوثکمتماس مستقیم با شماره تلفن‌هازیاددسترسی به دوربینزیادتغییر وضعیت اتصال شبکهکمتغییر تنظیمات شبکه وایفای به حالت مالتی‌کستکماتصال به وایفای و قطع اتصال از آنکمترسیم روی برنامه‌های دیگرکممشاهده لیست حساب‌ها در دستگاهزیاددسترسی کامل به اینترنتکمافزودن یا حذف حساب‌‌ها در دستگاهزیادمدیریت تماس‌های تحت برنامهکمتغییر تنظیمات صوتیکمandroid.permission.QUERY_ALL_PACKAGESکمخواندن مخاطبان دفترچه تلفن دستگاهزیادخواندن کارت حافظهزیادخواندن وضعیت تلفن و شناسهزیادandroid.permission.READ_PRIVILEGED_PHONE_STATEناشناختهخواندن پیامک متنیزیاداجرا شدن در هنگام راه‌اندازیکمandroid.permission.RECEIVE_MMSزیاددریافت و مشاهده پیامک‌های متنیزیادضبط صدازیادandroid.permission.REQUEST_COMPANION_RUN_IN_BACKGROUNDکمandroid.permission.REQUEST_COMPANION_USE_DATA_IN_BACKGROUNDکمنادیده گرفتن اعلان بهینه‌سازی مصرف باتریکمارسال پیامک‌‌های متنیزیاداستفاده از حساب‌ها در دستگاهزیادandroid.permission.USE_FULL_SCREEN_INTENTکمکنترل لرزشکمممانعت از به خواب رفتن دستگاهکمنوشتن، تغییر و حذف محتویات کارت حافظهزیادcom.amazon.alexa.accessory.ACCESSORY_BROADCAST_PERMISSIONناشناختهcom.amazon.alexa.accessory.notificationpublisher.notificationlistenerناشناختهcom.amazon.alexa.alertsca.events.AlertEventناشناختهcom.amazon.alexa.ALEXA_AUDIO_PROVIDER_ACTION_PERMISSIONناشناختهcom.amazon.alexa.externalmediaplayer.permission.WAKE_UPناشناختهcom.amazon.alexa.externalnotifications.directivelistenerناشناختهcom.amazon.alexa.handsfree.latencyreporter.LATENCY_PERMISSIONناشناختهcom.amazon.alexa.handsfree.metrics.IPC_METRIC_PERMISSIONناشناختهcom.amazon.alexa.multimodal.permission.SDK_API_GATEWAYناشناختهcom.amazon.alexa.multimodal.settings.permission.READ_VALUEناشناختهcom.amazon.alexa.multimodal.settings.permission.WRITE_VALUEناشناختهcom.amazon.alexa.permission.MODE_SWITCHناشناختهcom.amazon.appmanager.preload.permission.READ_PRELOAD_DEVICE_INFO_PROVIDERناشناختهcom.amazon.dcp.config.permission.DYN_CONFIG_VALUES_UPDATEDناشناختهcom.amazon.dcp.metrics.permission.METRICS_PERMISSIONناشناختهcom.amazon.dcp.settings.permission.READ_SETTINGSناشناختهcom.amazon.dcp.sso.permission.account.changedناشناختهcom.amazon.dcp.sso.permission.AmazonAccountPropertyService.property.changedناشناختهcom.amazon.dcp.sso.permission.CUSTOMER_ATTRIBUTE_SERVICEناشناختهcom.amazon.dcp.sso.permission.MANAGE_COR_PFMناشناختهcom.amazon.dcp.sso.permission.USE_DEVICE_CREDENTIALSناشناختهcom.amazon.deecomms.permissionناشناختهcom.amazon.device.environment.permission.SWITCH_STAGEناشناختهcom.amazon.identity.auth.device.perm.AUTH_SDKناشناختهcom.amazon.identity.permission.CALL_AMAZON_DEVICE_INFORMATION_PROVIDERناشناختهcom.amazon.identity.permission.CAN_CALL_MAP_INFORMATION_PROVIDERناشناختهcom.amazon.identity.permission.GENERIC_IPCناشناختهcom.amazon.permission.ASP_PERMISSIONناشناختهcom.amazon.permission.ENABLE_KEYGUARD_FLAGSناشناختهcom.amazon.rtcsc.permission.RTCSCناشناختهcom.amazon.settings.permission.ALEXA_SETTINGS_CONSUMERناشناختهcom.amazon.vizzini.PLAY_TTSناشناختهcom.amazon.whisperjoin.deviceprovisioningservice.ArcusUpdate.Permissionناشناختهcom.amazon.whisperjoin.deviceprovisioningservice.FFSServiceAction.permissionناشناختهcom.amazon.whisperjoin.deviceprovisioningservice.WhiteListPolicyUpdate.Permissionناشناختهاجازه دریافت نوتیفیکیشنعادینظارت بر فعالیت کاربرزیادcom.magiear.handsfree.permission.USE_ASSISTANT_SERVICEناشناختهcom.quicinc.voice.activation.PACKAGE_CHANGED_PERMISSIONناشناختهcom.quicinc.voice.activation.PERMISSION_ACTIVITY_PERMISSIONناشناختهcom.quicinc.voice.activation.UVR_ENROLLMENT_SERVICE_PERMISSIONناشناختهcom.quicinc.voice.activation.UVR_SETTINGS_SERVICE_PERMISSIONناشناختهcom.quicinc.voice.activation.VERSION_INFO_PERMISSIONناشناختهcom.quicinc.voice.activation.WAKEWORD_SETTINGS_SERVICE_PERMISSIONناشناخته

اشتراک‌گذاری اطلاعات با سرویس‌های شخص ثالث

Amazon Analytics (Amazon insights)
اشتراک‌گذاری اطلاعات دستگاه برای تبلیغات، نظارت، خطایابی، تجزیه و تحلیل فعالیت‌ها و وضعیت عملکردBugsnag
اشتراک‌گذاری اطلاعات دستگاه برای تبلیغات، نظارت، خطایابی، تجزیه و تحلیل فعالیت‌ها و وضعیت عملکردGoogle Firebase Analytics
اشتراک‌گذاری اطلاعات دستگاه برای تبلیغات، نظارت، خطایابی، تجزیه و تحلیل فعالیت‌ها و وضعیت عملکردMetrics
اشتراک‌گذاری اطلاعات دستگاه برای تبلیغات، نظارت، خطایابی، تجزیه و تحلیل فعالیت‌ها و وضعیت عملکرد

آسیب‌پذیری‌های متداول موجود در برنامه براساس استانداردها

ذخیره اطلاعات حساس به‌صورت ناامن
شدت خطر این آسیب‌پذیری ۷.۴ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m9 و cwe-312استفاده از اعداد تصادفی بجای رمزنگاری
شدت خطر این آسیب‌پذیری ۷.۵ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m5 و cwe-330نشت IP کاربر
شدت خطر این آسیب‌پذیری ۴.۳ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در cwe-200استفاده از الگوریتم‌های ضعیف برای ایجاد هش
شدت خطر این آسیب‌پذیری ۷.۴ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m5 و cwe-327ذخیره اطلاعات حساس در حافظه بدون اعمال نظارت روی دسترسی‌ها
شدت خطر این آسیب‌پذیری ۵.۵ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m2 و cwe-276استفاده از الگوریتم‌های ضعیف برای ایجاد هش
شدت خطر این آسیب‌پذیری ۵.۹ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m5 و cwe-327آسیب‌پذیری عدم خنثی‌سازی عناصر مخرب در فرامین SQL
شدت خطر این آسیب‌پذیری ۵.۹ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m7 و cwe-89ذخیره اطلاعات در پوشه فایل‌های موقت دستگاه
شدت خطر این آسیب‌پذیری ۵.۵ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m2 و cwe-276امکان اجرای کدهای مخرب در واسط نمایش صفحات وب
شدت خطر این آسیب‌پذیری ۸.۸ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m1 و cwe-749آسیب‌پذیر در برابر حملات فرد میانی و خطا در SSL
شدت خطر این آسیب‌پذیری ۷.۴ از ۱۰ تخمین زده می‌شود. توضیحات بیشتر در OWSAP-m3 و cwe-295