java - Qark 报告 java 文件 : zzaup, zzst、zze、MediaButtonReceiver、TaskStackBuilder 上的 PendingIntent 安全问题

Question

我正在开发一个已经存在的应用程序，我必须使用 QARK 测试代码安全漏洞(快速 Android 审查工具包)。

当我运行此工具时，它会报告与未决 Intent 相关的问题:
在这些 Java 类中:
- myApp/classes_dex2jar/com/google/android/gms/internal/zzaup.java
- myApp/classes_dex2jar/com/google/android/gms/internal/zzst.java
- myApp/classes_dex2jar/com/google/android/gms/common/zze.java
- myApp/classes_dex2jar/android/support/v4/media/session/MediaButtonReceiver.java
- myApp/classes_dex2jar/android/support/v4/app/TaskStackBuilder.java

同样的警告:

Implicit Intent: localIntent used to create instance of PendingIntent. A malicious application could potentially intercept, redirect and/or modify (in a limited manner) this Intent. Pending Intents retain the UID of your application and all related permissions, allowing another application to act as yours.
File: myApp/classes_dex2jar/[folder structure for each java class listed above].java
More details: https://www.securecoding.cert.org/confluence/display/android/DRD21-J.+Always+pass+explicit+intents+to+a+PendingIntent

我真的不知道该怎么办。在我的代码中没有任何这些类，PendingIntent 也没有。(只有 1 个隐式 Intent 在浏览器中打开一个简单的链接，没有别的!)

有什么建议吗？？？

Answer 1

我自己回答，以便以后能帮助到需要的人。

简单地说，给我的报告是用旧版本的 QARK 生成的(2018 年 7 月开始，版本1.2，当前的是 4.0。)

在网上搜索我找到了this issue (现已关闭)据说:

"The blog posts are old and use the release version of QARK. In the newer version (with more checks, faster execution, and less false positives) we have a simple report for now. [...]".

祝大家好运，发展顺利! 🤞