Pesquisador encontra bypass no aviso de leitura do clipboard do Android, e o Google não vai corrigir

Um pesquisador mostrou como um app malicioso consegue esconder o aviso que o Android↳Android46 conteúdosAndroid push notifications com Quasar Framework, Firebase e integração com WordPressDev (Back & Front) · mai 2019O X do Xamarin Forms – O guia das funcionalidades nativas - Parte 02: AndroidDev (Back & Front) · abr 2019Modularização de AndroidDev (Back & Front) · ago 2019Ver tudo em Dev (Back & Front) → exibe ao ler a área de transferência, e o Google classificou a falha como não prioritária.

O aviso que devia aparecer, e não aparece

Desde o Android 12 (API 31), toda vez que um aplicativo acessa o conteúdo da área de transferência (o clipboard), o sistema mostra um toast avisando o usuário. É a defesa que o Android tem contra apps que ficam de olho no que você copia, como senhas, códigos de autenticação ou tokens.

O pesquisador de segurança Toni Noble encontrou uma forma de burlar esse aviso e publicou os detalhes em post no próprio blog, datado de 9 de novembro de 2026. Segundo ele, o texto foi escrito originalmente no fim de julho de 2026, mas a publicação ficou represada enquanto o time de segurança do Android avaliava o relato.

A resposta veio como "Won't Fix" para uma CVE classificada como severidade moderada. Foi isso que destravou a publicação:

Como recebi a confirmação de que esse CVE de severidade moderada agora está marcado como não será corrigido, estou divulgando os detalhes publicamente.

Toni Noble, pesquisador de segurança e autor do postSince I have received update that this CVE of Moderate severity is now a Won't Fix I am disclosing the details publicly.

Como funciona o bypass

O Android já tem camadas de proteção envolvendo o clipboard. Desde o Android 10, apps não conseguem acessar a área de transferência em segundo plano. Aplicativos que querem capturar a tela também precisam de permissão explícita a cada vez, exceto quando estão assinados com a mesma chave do sistema operacional (o caso de apps pré-instalados pelo fabricante). E desde o Android 12, qualquer leitura por um app em primeiro plano dispara o toast de aviso.

Noble testou se dava para esconder esse toast específico sem bloquear a leitura do clipboard em si. Ele construiu um aplicativo de teste simples que lê o clipboard e, na sequência, dispara rapidamente dois toasts próprios, criados pelo próprio desenvolvedor do app malicioso.

Como o Android só exibe um toast por vez na tela, os dois toasts falsos empurram o toast de aviso do sistema para fora da fila visível, substituindo-o antes que o usuário tenha chance de ler o que diz. Na prática, o app lê a senha ou o código copiados, e o usuário vê duas notificações genéricas no lugar do alerta de segurança. O próprio Noble registrou o comportamento em gif.

O aviso em texto não é a única lacuna

A documentação oficial do Android sobre Secure Clipboard Handling já reconhece que dados sensíveis copiados podem vazar, mas aponta outra ferramenta: a flag ClipDescription.EXTRA_IS_SENSITIVE (ou android.content.extra.IS_SENSITIVE).

Além disso, para proteger PII (informações pessoais identificáveis), o Android suporta a flag especial ClipDescription.EXTRA_IS_SENSITIVE ou android.content.extra.IS_SENSITIVE. Isso permite que desenvolvedores ofusquem visualmente a prévia do conteúdo da área de transferência na interface do teclado, evitando que dados copiados sejam exibidos em texto claro e potencialmente roubados por aplicativos maliciosos.

Documentação oficial do Android, GoogleAdditionally, in order to protect PII (Personal Identifiable Information), Android supports the ClipDescription.EXTRA_IS_SENSITIVE or android.content.extra.IS_SENSITIVE special flag. This allows developers to visually obfuscate the clipboard content preview within the keyboard GUI, preventing copied data from being visually shown in clear-text and potentially stolen by malicious applications.

O ponto cego é que essa flag só esconde a prévia visual no teclado, pensada para evitar shoulder surfing ou captura de tela. Ela não impede que outro app leia o valor copiado via código. O Authenticator, app de MFA do próprio Google, usa essa flag quando um código é copiado: ninguém vê o segredo olhando por cima do ombro, mas o valor continua acessível a qualquer app que leia o clipboard em primeiro plano, inclusive um que esconda o toast de aviso usando a técnica de Noble.

O pedido de permissão granular que ficou parado

Para Noble, um toast que desaparece sozinho em segundos não é proteção suficiente para uma operação potencialmente sensível. Por isso ele abriu uma feature request no IssueTracker do Google pedindo controle de acesso ao clipboard por aplicativo, no mesmo modelo de permissão que já existe para Localização ou Notificações.

Hoje o modelo é tudo ou nada: o app pode ler o clipboard em primeiro plano (com toast) ou não pode ler nada. Uma permissão granular, como a sugerida, deixaria o usuário decidir caso a caso quais apps podem acessar a área de transferência, revogando o acesso de apps que não têm motivo legítimo para ler o que foi copiado.

O relato do bypass do toast foi tratado separadamente como CVE e recebeu o status Won't Fix. Não há, no material publicado, uma resposta do Google sobre o pedido de permissão granular em si.

O que muda para quem desenvolve para Android

Para quem constrói apps Android, a lição prática não é esperar o sistema operacional resolver isso. Três pontos concretos:

• Se o app copia dados sensíveis (senhas, tokens, chaves de API, segredos de MFA), usar ClipDescription.EXTRA_IS_SENSITIVE ajuda contra shoulder surfing e capturas de tela, mas não contra outro app lendo o valor em código.
• O ideal, para segredos de uso único, é evitar colocar o valor no clipboard do sistema por mais tempo do que o necessário, limpando a área de transferência programaticamente logo após o uso esperado.
• Para apps que fazem leitura legítima do clipboard (gerenciadores de senha, leitores de QR code, autopreenchimento), vale documentar e deixar claro ao usuário por que a leitura acontece, já que o toast do sistema pode não ser confiável como único sinal de transparência.

Noble conta que chegou ao achado por acaso: estava mexendo no Android Studio depois de um fork do app Android do Meshtastic para tentar corrigir um bug de timestamp em notificações, e acabou testando se era possível manipular o próprio sistema de toasts. O episódio é um lembrete de que proteções baseadas em notificação efêmera, por padrão, competem por espaço na tela com qualquer app capaz de disparar as suas próprias, e podem ser suprimidas por quem sabe como a fila de toasts funciona.

Com o CVE marcado como Won't Fix, a defesa real para quem desenvolve e para quem usa Android segue dependendo de boas práticas de cada app, não de uma garantia do sistema operacional.

Fonte: Hacker News