Google ще разкрива информация за уязвимости в чужди Android устройства

Компания Google представи инициативата Android Partner Vulnerability, в рамките на която се предвижда да се разкриват данни за уязвимости в Android устройства на различни OEM производители. Инициативата ще направи по-прозрачно информирането на потребителите за уязвимости, специфични за модификации от трети производители.

Досега в официалните отчети за уязвимости (Android Security Bulletins) бяха отразявани само проблемите в основния код, предложен в репозитория AOSP, без да се взимат предвид проблеми, специфични за модификации от OEM производители. Вече разкрити проблеми засягат производители като ZTE, Meizu, Vivo, OPPO, Digitime, Transsion и Huawei.

Сред откритите проблеми:

• В устройствата на Digitime вместо проверка на допълнителни права за достъп до API на услугата за инсталиране на OTA обновления е бил използван параметър с твърдо вградено парола, позволяващ на злонамерения потребител незабелязано да инсталира APK пакети и да промени правата на достъп на приложението.
• В популярния сред някои OEM производители алтернативен браузър Phoenix мениджър на пароли беше реализиран под формата на JavaScript код, изпълняван в контекста на всяка страница. Подконтролният на атакуващия сайт можеше да получи пълен достъп до хранилището на пароли на потребителя, за шифроването на което се използваха ненадеждни алгоритми DES и твърдо вграден ключ.
• Приложението System UI на устройствата Meizu изтегляше допълнителен код от мрежата без шифроване и проверка на връзката. При контрол на HTTP трафика на жертвата атакуващият можеше да стартира своя код в контекста на приложението.
• При устройствата Vivo беше преработен методът checkUidPermission на класа PackageManagerService, за да предостави допълнителни права на някои приложения, дори ако тези права не са посочени в манифестния файл. В една версия методът предоставяше всякакви права на приложения с идентификатор com.google.uid.shared. В друга версия, за предоставяне на правата, се извършваше проверка на имената на пакети по списък.

Източник: opennet.ru