Skip to content

MASTG-TEST-0251: Uso em Tempo de Execução de APIs de Acesso a Content Provider em WebViews

Visão Geral

Este teste é a contraparte dinâmica do Referências a Content Provider Access em WebViews.

Passos

  1. Execute uma ferramenta de análise dinâmica como Frida para iOS e:
    • enumere as instâncias de WebView no aplicativo e liste seus valores de configuração
    • ou conecte explicitamente os métodos setters das configurações do WebView

Observação

A saída deve conter uma lista de instâncias de WebView e as configurações correspondentes.

Avaliação

Falha:

O teste falha se todas as seguintes condições forem verdadeiras:

  • JavaScriptEnabled está como true.
  • AllowContentAccess está como true.
  • AllowUniversalAccessFromFileURLs está como true.

Você deve usar a lista de provedores de conteúdo obtida no Referências a Content Provider Access em WebViews para verificar se eles lidam com dados sensíveis.

Nota: AllowContentAccess estar como true não representa por si só uma vulnerabilidade de segurança, mas pode ser usado em combinação com outras vulnerabilidades para escalar o impacto de um ataque. Portanto, é recomendado defini-lo explicitamente como false se o aplicativo não precisar acessar provedores de conteúdo.

Aprovação:

O teste é aprovado se qualquer uma das seguintes condições for verdadeira:

  • JavaScriptEnabled está como false.
  • AllowContentAccess está como false.
  • AllowUniversalAccessFromFileURLs está como false.

Mitigations

Demos

MASTG-DEMO-0030: Usos de WebViews Permitindo Acesso a Conteúdo com Frida