Google ще разкрие уязвимости в устройства с Android на трети страни

Google представени инициатива Уязвимост на Android партньор, който планира да разкрие данни за уязвимости в устройства с Android от различни OEM производители. Инициативата ще направи по-прозрачна за потребителите относно уязвимостите, специфични за фърмуера с модификации от производители на трети страни.

Досега официалните доклади за уязвимости (Бюлетини за сигурността на Android) отразяваха само проблеми в основния код, предлаган в хранилището на AOSP, но не вземаха предвид проблеми, специфични за модификации от OEM производители. Вече разкри Проблемите засягат производители като ZTE, Meizu, Vivo, OPPO, Digitime, Transsion и Huawei.

Сред идентифицираните проблеми:

• В устройства Digitime, вместо да проверявате допълнителни разрешения за достъп до API на услугата за инсталиране на OTA актуализация беше използван твърдо кодирана парола, която позволява на атакуващ тихо да инсталира APK пакети и да променя разрешенията на приложението.
• В алтернативен браузър, популярен сред някои OEM производители Феникс мениджър на пароли беше реализиран под формата на JavaScript код, който се изпълнява в контекста на всяка страница. Сайт, контролиран от нападателя, може да получи пълен достъп до хранилището за пароли на потребителя, което е криптирано с помощта на ненадеждния DES алгоритъм и твърдо кодиран ключ.
• Системно UI приложение на устройства Meizu зареден допълнителен код от мрежата без криптиране и проверка на връзката. Чрез наблюдение на HTTP трафика на жертвата, нападателят може да изпълни своя код в контекста на приложението.
• Устройствата Vivo имаха преработено метод checkUidPermission на класа PackageManagerService за предоставяне на допълнителни разрешения на някои приложения, дори ако тези разрешения не са посочени във файла на манифеста. В една версия методът предоставя всякакви разрешения на приложения с идентификатор com.google.uid.shared. В друга версия имената на пакетите бяха проверени спрямо списък за предоставяне на разрешения.

Източник: opennet.ru