Кампанія Google ініцыятыву , у рамках якой плануецца раскрываць дадзеныя аб уразлівасцях у Android-прыладах розных OEM-вытворцаў. Ініцыятыва зробіць больш празрыстым давядзенне да карыстальнікаў звестак аб уразлівасцях, спецыфічных для прашывак з мадыфікацыямі ад іншых вытворцаў.
Да гэтага часу ў афіцыйных справаздачах аб уразлівасцях (Android Security Bulletins) адлюстроўваліся толькі праблемы ў асноўным кодзе, прапанаваным у рэпазітары AOSP, але не ўлічваліся праблемы, спецыфічныя для мадыфікацый ад OEM-вытворцаў. Ужо праблемы закранаюць такіх вытворцаў, як ZTE, Meizu, Vivo, OPPO, Digitime, Transsion і Huawei.
Сярод выяўленых праблем:
- У прыладах Digitime замест праверкі дадатковых паўнамоцтваў для доступу да API сэрвісу ўсталёўкі OTA-абнаўленняў цвёрда прашыты пароль, які дазваляе зламысніку неўзаметку ўсталяваць APK-пакеты і памяняць правы доступу з дадаткам.
- У папулярным у некаторых OEM-вытворцаў альтэрнатыўным браўзэры менеджэр пароляў у форме JavaScript-кода, які запускаецца ў кантэксце кожнай старонкі. Падкантрольны атакаваламу сайт мог атрымаць поўны доступ да сховішча пароляў карыстача, для шыфравання якога ўжываўся ненадзейны алгарытм DES і цвёрда прашыты ключ.
- Прыкладанне System UI на прыладах Meizu дадатковы код з сеткі без шыфравання і верыфікацыі злучэння. Пры кантролі за HTTP-трафікам ахвяры атакавалы мог запусціць свой код у кантэксце прыкладання.
- У прыладах Vivo быў метад checkUidPermission класа PackageManagerService для прадастаўлення дадатковых паўнамоцтваў некаторым прыкладанням, нават калі гэтыя паўнамоцтвы не пазначаны ў файле з маніфестам. У адной версіі метад даваў любыя паўнамоцтвы прыкладанням з ідэнтыфікатарам com.google.uid.shared. У іншай версіі для прадастаўлення паўнамоцтваў выконвалася зверка імён пакетаў па спісе.
Крыніца: opennet.ru