Qt Positioning Sicherheitshinweise

Diese Seite beleuchtet potenzielle Sicherheitsprobleme, die bei der Verwendung des Moduls auftreten können, und gibt Empfehlungen, wie diese vermieden werden können.

Plugins

Das Modul nutzt ein Plugin-System, um zur Laufzeit ein Backend auszuwählen. Diese Auswahl kann entweder auf der Plattform oder auf einer expliziten Anforderung der Anwendung basieren.

Verhindern Sie das Laden bösartiger Plugins

Das Plugin-System bietet einem Angreifer die Möglichkeit, ein bösartiges Plugin in die Anwendung laden zu lassen. Da ein Plugin eine gemeinsam genutzte Bibliothek ist, die im Prozess der Anwendung ausgeführt wird, kann es beliebigen Code mit den Berechtigungen der Anwendung ausführen.

Die Dokumentation zu Qt-Plugins bietet einen Überblick darüber, wie Plugins gefunden und geladen werden und welche Faktoren die Suchpfade beeinflussen. Es liegt in der Verantwortung des Anwendungsentwicklers, sicherzustellen, dass über diese Pfade keine nicht vertrauenswürdigen Plugins erreichbar sind. Überprüfen Sie bei der Bereitstellung einer Anwendung Folgendes:

• Die Qt-Installations- und Anwendungsverzeichnisse nicht von nicht vertrauenswürdigen Benutzern geändert werden können.
• Wenn die Anwendung eine „ qt.conf “-Datei verwendet, deren Inhalt korrekt ist und nicht vertrauenswürdige Benutzer die Datei nicht ändern können.
• Nicht vertrauenswürdige Parteien dürfen die Prozessumgebung nicht kontrollieren, da Variablen wie ` QT_PLUGIN_PATH ` die Suchpfade für Plugins erweitern.

Eine Anwendung kann beim Start auch ` QCoreApplication::setLibraryPaths()` aufrufen, um die Suchpfade explizit festzulegen. Die auf diese Weise festgelegten Pfade müssen weiterhin vor Änderungen durch nicht vertrauenswürdige Benutzer geschützt werden.

Vermeiden Sie den Testmodus in der Produktion

Um die Determinierbarkeit automatisierter Tests zu gewährleisten, ignoriert das Modul alle Produktions-Plugins, wenn die Umgebungsvariable ` QT_QTESTLIB_RUNNING ` gesetzt ist. Infolgedessen stehen der Anwendung keine Positions- oder Satellitenquellen zur Verfügung. Stellen Sie sicher, dass diese Variable in einer Produktionsumgebung nicht gesetzt ist.