Unreleased Resource: Android Media

ABSTRACT

Android 活動未能在其 onPause()、onStop() 或 onDestroy() 事件處理器中釋放 MediaRecorder、MediaPlayer 或 AudioRecord 對象。

EXPLANATION

Android 活動分配了在 onPause()、onStop() 或 onDestroy() 回調中未釋放的媒體對象。當 Android OS 需要將當前活動發送到后臺或在系統資源不足時暫時中斷活動時，會調用這些回調函數。由于未能正確釋放媒體對象，該活動導致（其他應用程序或者同一應用程序）隨后對 Android 媒體硬件的訪問轉而依靠軟件來實現，甚至徹底失敗。打開過多未釋放的媒體實例可導致 Android 拋出異常，最終導致 denial of service。另外，活動暫停時仍占用媒體實例會導致不必要的電池電量消耗，從而對用戶體驗造成負面影響。

例：以下代碼描述了一項 Android 活動，其中沒有替代用于釋放媒體對象的基本 onPause() 方法，也沒有在關機順序中正確釋放該對象。

public class UnreleasedMediaActivity extends Activity {
private MediaPlayer mp;

@Override
public void onCreate(Bundle state) {
      ...
  }

@Override
public void onRestart() {
      ...
  }

@Override
public void onStop() {
mp.stop();
  }
}

REFERENCES

[1] Standards Mapping - OWASP Top 10 2004 - (OWASP 2004) A9 Application Denial of Service

[2] Standards Mapping - Security Technical Implementation Guide Version 3 - (STIG 3) APP6080 CAT II

[3] Standards Mapping - Security Technical Implementation Guide Version 3.4 - (STIG 3.4) APP6080 CAT II

[4] Audio Capture, Android Developers

[5] Standards Mapping - Common Weakness Enumeration - (CWE) CWE ID 404, CWE ID 619

[6] Media Player, Android Developers

[7] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 - (PCI 1.1) Requirement 6.5.9

[8] Standards Mapping - SANS Top 25 2009 - (SANS 2009) Risky Resource Management - CWE ID 404