متصفح الجوجل مبادرة ، والتي تخطط للكشف عن البيانات المتعلقة بالثغرات الأمنية في أجهزة Android من مختلف الشركات المصنعة للمعدات الأصلية. ستجعل هذه المبادرة الأمر أكثر شفافية للمستخدمين بشأن الثغرات الأمنية الخاصة بالبرامج الثابتة مع تعديلات من الشركات المصنعة التابعة لجهات خارجية.
حتى الآن، لم تعكس تقارير الثغرات الأمنية الرسمية (نشرات أمان Android) سوى المشكلات الموجودة في الكود الأساسي المقدم في مستودع AOSP، ولكنها لم تأخذ في الاعتبار المشكلات الخاصة بالتعديلات من مصنعي المعدات الأصلية. بالفعل وتؤثر المشاكل على الشركات المصنعة مثل ZTE وMeizu وVivo وOPPO وDigitime وTranssion وHuawei.
من بين المشاكل التي تم تحديدها:
- في أجهزة Digitime، بدلاً من التحقق من الأذونات الإضافية للوصول إلى واجهة برمجة تطبيقات خدمة تثبيت تحديث OTA كلمة مرور مضمنة تسمح للمهاجم بتثبيت حزم APK بهدوء وتغيير أذونات التطبيق.
- في متصفح بديل شائع لدى بعض مصنعي المعدات الأصلية مدير كلمة السر في شكل تعليمات برمجية JavaScript يتم تشغيلها في سياق كل صفحة. يمكن للموقع الذي يتحكم فيه المهاجم أن يحصل على حق الوصول الكامل إلى مساحة تخزين كلمة المرور الخاصة بالمستخدم، والتي تم تشفيرها باستخدام خوارزمية DES غير الموثوقة ومفتاح مشفر.
- تطبيق واجهة مستخدم النظام على أجهزة Meizu رمز إضافي من الشبكة دون التشفير والتحقق من الاتصال. ومن خلال مراقبة حركة مرور HTTP الخاصة بالضحية، يمكن للمهاجم تشغيل التعليمات البرمجية الخاصة به في سياق التطبيق.
- كان لدى أجهزة Vivo طريقة checkUidPermission لفئة PackageManagerService لمنح أذونات إضافية لبعض التطبيقات، حتى لو لم يتم تحديد هذه الأذونات في ملف البيان. في أحد الإصدارات، منحت الطريقة أي أذونات للتطبيقات ذات المعرف com.google.uid.shared. في إصدار آخر، تم فحص أسماء الحزم مقابل قائمة لمنح الأذونات.
المصدر: opennet.ru