Описание релизов

Версия 2022.12

Версия 2022.08

Версия 2022.06

Версия 2022.04

Версия 2021.12

Версия 2.6

Версия 2.5

Версия 2.4

Версия 2.3

Версия 2022.12

[Новая функциональность]

  • Android. Возможность запуска Appium-скриптов в качестве тест-кейсов при автоматическом сканировании
  • Android. Новый модуль по анализу корректности использования механизмов шифрования. Новые уязвимости:
    • Слабый или устаревший алгоритм шифрования
    • Простой вектор инициализации
    • Слабый ключ шифрования
    • Неверные параметры для алгоритма генерации ключа
    • Использован уязвимый алгоритм хеширования
    • Использована соль с низкой энтропией
    • Возможно использовано слово как значение соли
  • Android. В перехват сетевого трафика добавлена возможность перехвата сообщений WebSocket
    • Новая уязвимость «Включение sensitive-информации в сообщения WebSocket»
  • iOS. Добавление нового модуля интерактивного анализа (IAST) в сканирование iOS. Реализация Taint-анализа в динамике. Добавление новой уязвимости:
    • Возможность открытия произвольной URL в WebView
  • iOS. Дамп расшифрованного бинарного файла из памяти с устройства и анализ его содержимого на предмет чувствительной информации. Добавление новой уязвимости
    • Хранение чувствительной информации в бинарном файле
  • iOS. Возможность создания автоматического тест-кейса для iOS-приложений.
    • Запись тестового сценария без необходимости написания кода
    • Запись видео тестового сценария
  • iOS. Поддержка автоматического сканирования с использованием записанных ранее тестовых сценариев.
  • Новые стандарты для проверки соответствий требованиям:
    • PCI DSS 4.0
    • PCI Software Security Framework
    • ОУД4
    • ГОСТ-57580
  • Интеграция с магазинами приложений:
    • Apple AppStore
    • Google Play
    • RuStore
  • Автоматическая загрузка приложений для сканирования или записи тестовых сценариев напрямую из магазинов приложений
  • Мониторинг новых версий приложений из магазинов приложений и автоматический запуск сканирования
  • Полностью переработана архитектура и дизайн UI
    • Улучшена визуальная составляющая и пользовательский путь
    • Переработана структура таблиц, фильтров, пагинации
    • Добавлено сохранение фильтров при переходах между страницами
    • Существенно оптимизирована скорость работы и загрузки страниц и данных
    • Добавлены вкладки «Сканирования», «Тест-кейсы», «Интеграции» на страницу «Проект»

[Доработки текущей функциональности]

  • Улучшен поиск уязвимости «Возможное выполнение произвольного кода»
  • Улучшение методов обхода проверок на эмулятор
  • Новый алгоритм работы Taint-анализа для Android, добавление определения новых уязвимостей и валидация ложных срабатываний:
    • Возможность опосредованного запуска приватных Activity
    • Возможность запуска произвольного кода
    • Возможность доступа к произвольному файлу через loadDataWithBaseURL
    • Возможность посылки произвольного широковещательного сообщения через Intent
    • Возможность запуска произвольного Service через Intent
    • Возможность запуска произвольной Activity через Intent
  • Получение иконок из aab и zip
  • Уточнение работы энтропийного анализа
  • Автоматическое создание профиля для любого проекта при старте сканирования
  • Настройка времени жизни сессии через переменные окружения
  • Исключена нетехническая информация из отчета по сканированию

[Bugfix]

  • Некорректное определение дефекта «Небезопасная конфигурация сетевого взаимодействия»
  • Автоматическое создание проекта и профиля для разных архитектур с одинаковым именем пакета
  • Игнорирование настройки логина и пароля для контейнера NEO4J
  • Ошибки при загрузке файлов с Uppercase расширением
  • Отображение информации в дефектах

[Supporting Features]

  • Автоматическое создание проекта и профиля при запуске сканирования через CLI
  • Интеграция с DefectDojo (https://github.com/Swordfish-Security/stingray-defectdojo)
  • Поддержка Nexus2 в качестве системы дистрибуции при запуске сканирования через CLI
  • Поддержка Huawei AppGallery в качестве системы дистрибуции при запуске сканирования через CLI
  • Формирование строки запуска на странице «Интеграции»

Версия 2022.08

[Новая функциональность]

  • Добавлен поиск чувствительной информации по энтропии;
  • Добавлен модуль для Android «Проверка на root/emulator». В рамках данного модуля улучшены обходы проверок на root и добавлены обход проверок на эмулятор. В рамках данного модуля добавлены новые типы уязвимостей:
    • Отсутствие проверки на root-доступ;
    • Отсутствие проверки на запуск на эмуляторе;
    • Отсутствие проверки целостности приложения;
    • Недостаточная проверка на запуск на эмуляторе;
    • Недостаточная проверка на root-доступ.
  • Помимо стандартных apk, для Android-приложений доступна загрузка split-apk в виде архива и файлов формата aab;
  • В поиск файлов от системы сборщика в модуле iOS добавлены типы файлов от CocoaPods: Podfile, Podfile.lock, Manifest.lock:
    • Carthage;
    • Accio / SwiftPM;
    • Athena;
    • Mint;
    • Rome;
    • SWM;
    • Xcode Maven.
  • Возможность автоматического создания проекта и профиля при запуске сканирования;
  • Возможности настройки автоматической очистки старых сущностей.


[Доработки текущей функциональности]

  • В агенты Android добавлен русский язык;
  • Улучшена стабильность iOS-агентов;
  • Оптимизирована скорость декомпиляции Android-приложений;
  • На странице «проекты» в карточке профиля добавлен переход к рзультату сканирования при нажатии на значок с количеством багов;
  • Примение настройки исключенных директорий и файлов в модуле «Файлы приложения» при повторном анализе (recalc);
  • Добавлено независимость от регистра в настройках исключений директорий/имен файлов в модуле «Файлы приложения»;
  • При сканировании на вкладке «Лог» реализована фильтрация по уровню логов;
  • Доработка правил для более точного поиска JWT.


[Bugfix]

  • Исправлено некорректное закрытие соединения с websocket при завершении сканирования;
  • Исправление интеграции с AppScreener.


[Supporting Features]

  • В CLI добавлена возможность загрузки split-apk из Google Play.

Версия 2022.06

[Новая функциональность]

  • Добавлена функциональность по поиску и автоматической валидации токенов от сторонних сервисов:
    • Slack
    • Github
    • JWT
    • Facebook/Instagram
    • Square
  • Структурный анализ информации;
  • Новый модуль в iOS — «Системный журнал».


[Доработки текущей функциональности]

  • Добавлены настройки для модуля «Поиск ранее найденной чувствительной информации»;
  • Добавлены настройки для модуля «Файлы приложения»;
  • Добавлен снимок экрана устройства, в случае, если сканирование завершилось с ошибкой;
  • Доработка защиты административной части системы;
  • Улучшена проверка здоровья агентов сканирования Android;
  • Улучшено отображение собранных данных.


[Bugfix]

  • Исправление некоторых правил анализа для более точного определения.


[Supporting Features]

  • Поддержка загрузки приложений для RuStore.

Версия 2022.04

[Новая функциональность]

  • В сканирование Android добавлена проверка на обход root-доступа;
  • Проверка «здоровья» агентов сканирования Android и iOS и автоматическое исправление возможных проблем;
  • Автоматическая проверка валидности найденных Google FCM-токенов/ключей для 18-ти сервисов с указанием стоимости запросов и URL для самостоятельной проверки;
  • Новый метод анализа Android приложений — tainted flow / IAST. Добавление новых уязвимостей, основанных на tainted-анализе:
    • Возможность подмены URL;
    • Возможность получения доступа к произвольному ContentProvider;
    • Возможность открытия произвольной URL в WebView;
    • Возможность получения доступа к произвольному файлу внутри директории приложения;
    • Возможность открытия произвольных внутренних компонентов приложения;
    • Возможность чтения/перезаписи произвольных файлов внутри директории приложения.
  • Реализация динамического сканирования iOS на реальных устройствах;
  • Автоматический мониторинг и исправление «здоровья» iOS-устройств;
  • Добавление новых уязвимостей iOS:
    • Хранение sensitive-информации в приватном файле;
    • Хранение sensitive-информации в кэше клавиатуры;
    • Хранение sensitive-информации в NSUserDefaults;
    • Включенное кэширование сетевых запросов;
    • Хранение чувствительной информации в Binary сookies;
    • Расширение ранее добавленных уязвимостей на файлы внутри директории приложения:
      • Приложение использует хранилище ключей с приватными ключами, защищёнными слабым паролем;
      • Приложение использует хранилище ключей со слабым паролем, содержащее закрытые ключи;
      • Приложение использует хранилище ключей со слабым паролем, содержащее открытые ключи;
      • Приложение использует файловое хранилище ключей;
      • Приложение хранит публичный ключ в директории/ресурсах приложения;
      • Приложение хранит приватный ключ/сертификат не защищенный паролем в директории/ресурсах приложения;
      • Хранение приватного ключа/сертификата защищенного паролем в директории/ресурсах приложения;
      • Хранение сертификата/ключа в директории/ресурсах приложения.
    • Полностью обновленный дизайн системы (FrontEnd):
      • Новый UI/UX на основе опросов текущих пользователей;
      • Адаптивный интерфейс под различные разрешения экрана;
      • Полностью переработанна архитектура приложения для оптимизации ресурсов и удобства пользователя.


[Доработки текущей функциональности]

  • Автоматическая отмена сканирований при перезапуске сканирующего агента;
  • Изменение логики работы удаления сущностей из системы;
  • Возможность задавать имя пакета, к которому привязывается проект в виде wildcard;
  • Добавлен источник обнаружения уязвимостей при сканировании с использованием интеграций с Appscreener и OverSecured;
  • Добавление возможности аутентификации через LDAP сервер без указания домена;
  • Удучшена работа с маппингом LDAP-групп;
  • Добавление возможности исключений для модуля по перехвату трафика Networking;
  • Доработка и корректировка ролевой модели пользователей;
  • Доработка методов отключения SSLPinning.


[Bugfix]

  • Исправление ошибок запуска сканирования на некоторых приложениях;
  • Исправление ошибок в модулях сканирований;
  • Синхронизация парольной политики на backend и frontend.


[Supporting Features]

  • Добавленны новый интеграции в CLI для автоматической загрузки приложений из:
    • Apple AppStore;
    • Firebase;
    • Google Play.
  • Исключение и обновление уязвимых библиотек из образов;
  • Новый процесс управления сканирующими агентами;
  • Обновление рекомендаций по устранению выявленных уязвимостей;
  • Добавление в состав продукта отдельной опции — «Интерактивные курсы по безопасности мобильных приложений».

Версия 2021.12

[Новая функциональность]

  • Добавлена интеграция с Active Directory / LDAP;
  • Возможность добавления нескольких серверов аутентификации;
  • Возможность настройки маппинга групп из Active Directory на группы в Stingray для автоматического назначения прав пользователям;
  • Добавлена привязка приложения к проекту и фильтрация связанных проектов при запуске сканирования.


[Доработки текущей функциональности]

  • Доработка логики анализа plist-файлов;
  • Реализован автоматическое вычисление максимальной роли пользователя на основе его участия в группах и персональных настроек;
  • Исправлены сортировки по умолчанию для ряда API.


[Bugfix]

  • Исправление ссылок на рекомендации;
  • Исправлено добавление пользователя с неуникальным именем;
  • Убрана кириллица из логов аудита.


[Supporting Features]

 

  • Обновление уязвимых компонент до актуальных версий;
  • Разработан автоматический скрипт по подготовке iOS-устройств для подключению к Stingray.

Версия 2.6

[Доработки текущей функциональности​]

  • Обновление иконки проекта при первом сканировании;
  • Добавление описаний ко всем API в swagger;
  • Добавление описаний в API каким ролям доступен вызов;
  • Реализация «прозрачного» проксирования трафика Android-приложений;
  • Доработки UI.


[Bugfix]

  • Устранение выявленных ошибок в ролевой модели пользователей;
  • Исправление периодического повторного запуска задач;
  • Устранение ошибок обратки файлов iOS.


[Supporting Features]

  • Разработан плагин для импорта HAR-файлов в Burp Suite для дальнейшего ручного или автоматизированного анализа API
    https://github.com/Dynamic-Mobile-Security/burp-har-importer ;
  • Добавлено описание интеграции с Netsparker / Burp Suite / Acunetix;
  • Удалены неиспользуемые API.

Версия 2.5

[Новая функциональность]

  • Добавлена возможность отключения SSLPinning;
  • Добавлена новая уязвимость «Отсутствует или некорректно реализован SSLPinning»;
  • Полностью переработана ролевая модель пользователей;
  • Добавлены административные права доступа для определения роли пользователя в системе;
  • Добавлены проектные роли для определения роли пользователя в конкретном проекте;
  • Добавлена возможность объединения пользователей в группы;
  • Добавлена возможность назначения группам различных прав (административных и проектных);
  • Новые уязвимости для Android;
  • Небезопасные настройки в AndroidManifest.xml. Флаг android:hasFragileUserData;
  • Небезопасные настройки в AndroidManifest.xml. Флаг android:requestLegacyExternalStorage;
  • Возможность добавления исключений напрямую со страницы результатов сканирования;
  • Возможность выгрузки сетевого трафика в формате HAR для дальнейшего импорта в инструменты анализа API.

[Доработки текущей функциональности]

  • При ошибках, когда приложение не запускается, реализован «Снимок экрана» для упрощения понимания причин возникновения ошибки;
  • При отсутствии необходимости в запуске приложения, оно не запускается, а сразу происходит этап анализа;
  • Доработка правил анализа и исключений на основе данных о проведенных сканированиях;
  • Увеличен выводимый контент файлов для просмотра до 5000 символов;
  • Доработка получения информации о работе приложения по модулям с собранными данными;
  • Доработки логов аудита системы, вывод в формате json;
  • Интеграция с AppScreener расширена на iOS.

[Bugfix]

  • Исправление недочетов/ошибок в UI;
  • Исправление проверки корректного запуска приложения;
  • Исправление данных в модуле «Отслеживание Broadcast Receiver».

[Supporting Features]

  • Добавление и обновление рекомендаций по устранению уязвимостей.

Версия 2.4

[Новая функциональность]

  • Интеграция с системой OverSecured для статического анализа;
  • Интеграция с системой Appscreener для статического анализа;
  • При загрузке приложения, которое уже было просканировано в системе оно не загружается еще раз, а используется загруженный ранее файл;
  • Добавление исключений ко всем уязвимостям в сканировании, отмеченным как ложное срабатывание;
  • Добавление исключения к конкретной уязвимости в сканировании;
  • Получение содержимого файлов в результатах сканирования.

 

[Доработки текущей функциональности]

  • В рамках проекта стало возможным сканирование только одного приложения;
  • Фильтрация доступных для выбора архитектур по активным сканирующим агентам;
  • Подсветка синтаксиса в результатах сканирования и собранных данных;
  • Более информативное отображение ошибок;
  • Возможность отменять запущенные тест-кейсы;
  • Изменен порядок выбора полей при старте сканирования или записи тест-кейса;
  • Добавлена возможность скачивания логов записи тест-кейса;
  • При выгрузке отчета ограничивается выводимая информация;
  • Доработка правил сканирования;
  • В уязвимости «Поиск ранее обнаруженной информации» добавлен поиск по модифицированным данным (md5, sha1, sha256, sha512, base64).

 

[Bugfix]

  • Исправлена ошибка отображения экрана устройства;
  • Исправлена ошибка модуля при отсутствии интернета при проверке корректности ключей FCM/GCM;
  • Исправление работы очереди сканирования;
  • Исправлена работа с изменением hosts в системе;
  • Обработка некорректных кодировок при сканировании;
  • Исправление ошибок в UI.

 

[Supporting Features]

 

  • Добавлена возможность запуска CLI при помощи готового docker-контейнера;
  • Параметр архитектуры в CLI стал не обязательным;
  • Добавлена возможность установки всех новых параметров при установке в значения по умолчанию;
  • Исправление уязвимостей и обновление библиотек до неуязвимых версий.

Версия 2.3

 

[Новая функциональность]

  • Добавление возможности изменения и управления парольной политикой.
  • Реализация механизма Captcha и изменение логики работы аутентификации.
  • Добавление возможности скачивания лога сканирования из интерфейса приложения.
  • Добавлена возможность отмены сканирования в любой момент жизненного цикла сканирования.
  • Реализовано автоматическое определение корректности запуска приложения перед сканированием или записью тестового сценария.
  • Реализовано автоматическое закрытие всплывающих окон перед запуском процесса сканирования или записи тестовых сценариев.
  • Фильтрация списка архитектур доступных для выбора при сканировании и записи тестовых сценариев по активным сканирующим агентам.
  • При уходе со страницы сканирования реализован возврат к экрану сканирования или записи тесткейса.
  • Выгрузка результатов модуля сетевой активности в формате HAR для возможности загрузки в инструменты динамического анализа.

 

[Новые уязвимости]

  • [iOS] Наличие Podfile в собранном пакете приложения.
  • [iOS] Наличие скриптов сборки в собранном пакете приложения.

 

[Доработки текущей функциональности]

  • Улучшение валидации при воспроизведении тестовых сценариев во время автоматического сканирования.
  • Добавлен читаемый формат сообщения об ошибках.
  • Проведена работа над безопасностью системы.
  • Улучшено логирования при запуске сканирования и записи тестовых сценариев.
  • Реализован автоматический выбор архитектуры при автоматическом сканировании с тестовым сценарием.
  • В CLI добавлена возможность сканирования без указания тестового сценария.
  • Переработка UI для разделов «Запуск сканирования» и «Результаты сканирования».

 

[Bugfix]

 

  • Исправление продолжающихся запросов на получение на статуса после ухода со страницы запуска сканирования.
  • Улучшение стабильности работы сканирующих агентов, исправление ошибок, влияющих на процесс сканирования.
  • Исправление ошибок в нескольких модулях.
  • Исправление ошибки «белого экрана» при записи тестового сценария или запуска сканирования из очереди.
  • Исправление некорректного обновления токенов доступа при перезагрузке страницы.