محققان امنیتی گوگل آسیب‌پذیری را در نصب‌کننده‌ی بازی برخط Fortnite بر روی اندروید شناسایی کرده‌اند. این آسیب‌پذیری به دیگر برنامه‌هایی که بر روی سیستم هدف نصب شده، اجازه می‌دهد فایل نصب را دست‌کاری کرده و بر روی دستگاه بدافزار نصب کنند. اوایل این ماه، شرکت سازنده‌ی این بازی با نام Epic Games اعلام کرد این بازی را از طریق فروشگاه گوگل‌پلی منتشر نکرده و این کار را توسط برنامه‌ی این شرکت انجام خواهد داد. محققان در خصوص این رویکرد هشدار دادند که دریافت APK خارج از فروشگاه‌های رسمی مشکلات امنیتی به دنبال خواهد داشت.
اینک به نظر می‌رسد این نگرانی‌ها به‌جا بوده است. محققان شرکت گوگل در فرآیند نصب و راهاندازی این بازی برخط، یک آسیب‌پذیری جدی را کشف کرده‌اند. محققان با انتشار یک ویدئوی اثبات مفهومی نشان دادند، فرآيند نصب این برنامه در برابر بردار حمله‌ای که به تازگی شناسایی شده و «مردی در دیسک» نام دارد، آسیب‌پذیر است.
اگر به‌طور خلاصه بخواهیم در مورد بردار حمله‌ی «مردی در دیسک» صحبت کنیم، باید بگوییم فایل‌های ذخیره‌شده در منابع ذخیره‌سازی خارجی به‌طور مناسب حفاظت نمی‌شوند و برنامه‌های دیگر می‌توانند آن فایل‌ها را دست‌کاری کرده و حتی منجر به نصب بدافزار بر روی دستگاه آسیب‌پذیر شوند. به عبارت دیگر، بر روی دستگاه به‌جای نصب برنامه‌ی قانونی و سالم، نمونه‌ی مخرب آن نصب خواهد شد. فرآیند نصب بازی Fortnite نیز به این شکل است که ابتدا نصب‌کننده، فایل نصب را بر روی منبع ذخیره‌سازی خارجی قرار داده و در ادامه نصب صورت می‌گیرد.
توسعه‌دهندگان گوگل متوجه شدند هر برنامه‌ای در تلفن همراه با مجوز WRITE_EXTERNAL_STORAGE می‌تواند فایل نصب را عوض کرده و فایل نصب را با یک APK مخرب جایگزین کند. در ادامه، این برنامه خواهد توانست به پیامک، تاریخچه تماس، GPS یا حتی دوربین بدون اطلاع کاربر دسترسی داشته باشد. از آنجایی که اولین نسخه نصب‌کننده Fortnite به‌طور انحصاری بر روی گوشی‌های سامسونگ راهاندازی شد، آسیب‌پذیری تنها بر روی نصب‌کننده Fortnite موجود در فروشگاه Galaxy Apps تاثیر گذاشته است.
گوگل در تاریخ ۱۵ اوت به Epic Games آسیب‌پذیری را گزارش کرد. این شرکت نیز در عرض ۴۸ ساعت با انتشار نسخه‌ی ۲٫۱٫۰ از نصب‌کننده‌ی Fortnite، این آسیب‌پذیری را وصله کرد. با این حال، این شرکت علاوه بر تشکر از گوگل برای به اشتراک‌گذاری جزئیات این آسیب‌پذیری، این محقق را برای افشای آسیب‌پذیری عمومی در عرض ۷ روز به جای انتظار ۹۰ روز انتقاد کرد. این شرکت معتقد است انتشار عمومی این آسیب‌پذیری سریع‌تر از موعد، پیش از انتشار گسترده‌ی وصله‌ها، فرصت مناسبی را برای مهاجمان و بهره‌برداری از این آسیب‌پذیری فراهم می‌کند. به کاربران، بازیکنان Fortnite به شدت توصیه می‌شود که برنامه‌ی خود را به آخرین نسخه ۲٫۱٫۰ ارتقاء دهند.
