Уязвимость Twilio Android SDK OpenSSL

Question

Я использую последнюю версию Twilio Android SDK в коммерческом приложении (и выплачиваю Twilio за привилегию). Основанный на https://support.google.com/faqs/answer/6376725, Google Play Store перестанет разрешать нам обновлять наши приложения в магазине в период с 11 июля 2016 года в результате уязвимости «Лоджия». Это связано с тем, что последняя версия Twilio имеет комплект OpenSSL 1.0.1k; тогда как уязвимость безопасности удаляется только в 1.01r (или 1.02f).

Я отправил сообщение в поддержку Twilio по этой проблеме, но понятия не имею о времени отклика. Кто-нибудь еще имеет проблему? Кто-нибудь знает, как быстро Twilio, как правило, обновляет свою версию OpenSSL в комплекте? Или если они планируют обновить до 1.01r в ближайшее время? Или действительно, как часто они склонны отвечать на запросы на странице «Talk to Support»?

Answer 1

Twilio ответил прямо сейчас (впечатлен быстрым ответом). Вот что они сказали:

Спасибо, что обратились к нам, это действительно актуальная проблема.

Мы только что выпустили Android Client версии 1.2.11, который может быть загружен с :

http://media.twiliocdn.com/sdk/android/client/latest/twilio-client-android.tar.bz2

Наш журнал изменений на сайте будет обновляться на следующий день или два; поэтому, я прилагаю примечания к выпуску для вашего обзора.

выпуск: Twilio Client SDK для Android 1.2.11

1.2.11 (14 апреля 2016)

КЛИЕНТ-2103 - OpenSSL был повышен до 1.0.1s. Эта версия удовлетворяет недавним предупреждениям издателей в магазине Google Play .
CLIENT-2321 - Поддержка архитектуры MIPS была удалена .
CLIENT-2338 - В приложении с targetSDKVersion 23 или выше SDK теперь не сможет инициализировать (и зарегистрировать ошибку), если пользователь не предоставил разрешения микрофона во время выполнения.

Исправления ошибок CLIENT-2027 - При использовании устранено неудобствоLinkError. Android 6 на устройствах/эмуляторах x86 из-за перемещения текста.
CLIENT-2104 - Исправлена ​​спорадическая ошибка UnsatisfiedLinkError, когда пытается загрузить библиотеку Twilio на старых устройствах.
CLIENT-2367 - SDK больше не запускает событие Device.OnStopListening , когда сервер PresenceEvent отключается.
CLIENT-2325 - Twilio.getVersion() теперь возвращает только Major.Minor.Patch.

Может помочь другим людям с той же проблемой :)