Autofail: a multi-threat security analysis of the Android Autofill Framework

Password managers (PWMs) are widely used to improve both usability and security in password-based authentication. On Android, PWMs typically rely on the Android Autofill Framework (AAF) to provide automatic credential filling in native applications and web browsers. The AAF acts as an intermediary between apps and PWMs by offering a unified interface for credential extraction and injection. However, web content does not natively match the object structure expected by the AAF, which forces browsers to translate a website’s Document Object Model (DOM) into an Android-specific representation. This translation step introduces a complex and security-sensitive layer in the autofill pipeline. In this paper, we present the first systematic security analysis of the Android Autofill Framework pipeline. We introduce ADAPT, a differential-testing based approach that enables an end-to-end inspection of the autofill flow, from the browser’s DOM translation process to the PWM’s credential matching and filling logic. We identify multiple critical vulnerabilities affecting 9 password managers and 5 widely used mobile browsers. These flaws allow attackers to leak credentials to attacker controlled origins, bypass web isolation mechanisms, and infer user account relationships across services. Furthermore, we demonstrate how a Potentially Unwanted App (PUA) can leverage a tapjacking exploit chain to become the system’s password manager and take full control of the system UI. We also propose concrete mitigations and a standardized design for secure DOM translation and context-aware credential filling. We responsibly disclosed our findings to the affected vendors. Major browser and password manager developers have confirmed our results and are actively implementing the suggested fixes.

I password managers (PWM) sono ampiamente utilizzati per migliorare sia l’usabilità che la sicurezza nell’autenticazione basata su password. Su Android, i PWM si affidano tipicamente all’Android Autofill Framework (AAF) per fornire l’inserimento automatico delle credenziali nelle applicazioni native e nei browser web. L’AAF agisce da intermediario tra le app e i PWM offrendo un’interfaccia unificata per l’estrazione e l’inserimento delle credenziali. Tuttavia, i contenuti web non corrispondono nativamente alla struttura degli oggetti prevista dall’AAF; ciò costringe i browser a tradurre il Document Object Model (DOM) di un sito web in una rappresentazione specifica per Android. Questo passaggio di traduzione introduce un livello complesso e sensibile dal punto di vista della sicurezza nella pipeline di compilazione automatica. In questo lavoro, presentiamo la prima analisi di sicurezza sistematica della pipeline dell’Android Autofill Framework. Introduciamo ADAPT, un approccio basato sul testing differenziale che consente un’ispezione end-to-end del flusso di compilazione automatica, dal processo di traduzione del DOM del browser alla logica di corrispondenza e inserimento delle credenziali da parte del PWM. Identifichiamo molteplici vulnerabilità critiche che affliggono 9 gestori di password e 5 browser per smartphone ampiamente utilizzati. Queste falle consentono agli aggressori di esfiltrare credenziali verso origini da loro controllate, aggirare i meccanismi di isolamento web e dedurre le correlazioni tra gli account degli utenti su servizi diversi. Inoltre, dimostriamo come una Potentially Unwanted App (PUA) possa sfruttare una catena di exploit di tapjacking per diventare il password manager di sistema e assumere il pieno controllo dell’interfaccia utente (UI) del sistema. Proponiamo inoltre mitigazioni concrete e una progettazione standardizzata per una traduzione sicura del DOM e un inserimento delle credenziali sensibile al contesto. Abbiamo divulgato responsabilmente le nostre scoperte ai fornitori interessati. I principali sviluppatori di browser e password managers hanno confermato i nostri risultati e stanno attivamente implementando le correzioni suggerite.