Преглед на Android 13. Отдалечена уязвимост на Android 12

Google представи първата тестова версия на отворената мобилна платформа Android 13. Пускането на Android 13 се очаква през третото тримесечие на 2022 г. За оценка на новите възможности на платформата е предложена предварителна програма за тестване. Компилациите на фърмуера са подготвени за устройства Pixel 6/6 Pro, Pixel 5/5a, Pixel 4 / 4 XL / 4a / 4a (5G).

Ключови иновации в Android 13:

• Реализиран е системен интерфейс за избор на снимки и видео, както и API за селективно предоставяне на достъп на приложенията до избрани файлове. Възможно е да се работи както с локални файлове, така и с данни, намиращи се в облачно хранилище. Специална характеристика на интерфейса е, че ви позволява да предоставяте достъп до отделни изображения и видеоклипове, без да предоставяте на приложението пълен достъп за преглед на всички мултимедийни файлове в хранилището. По-рано подобен интерфейс беше реализиран за документи.
• Добавен е нов тип разрешение за Wi-Fi, което дава на приложенията, предназначени да намират безжични мрежи и да се свързват с горещи точки, възможност за достъп до подмножество от API за управление на Wi-Fi, с изключение на обаждания, базирани на местоположение (преди приложения, които се свързват с Wi-Fi и получи достъп до информация за местоположение).
• Добавен API за поставяне на бутони в секцията за бързи настройки в горната част на падащия панел за известия. Използвайки този API, приложението може да издаде заявка за поставяне на своя бутон с бързо действие, което позволява на потребителя да добави бутон, без да напуска приложението и без да отива в настройките отделно.
• Възможно е да адаптирате фона на иконите на всяко приложение към цветовата схема на темата или цвета на фоновото изображение.
• Добавена е възможност за обвързване на индивидуални езикови настройки към приложения, които се различават от езиковите настройки, избрани в системата.
• Операцията за пренасяне на думи е оптимизирана (разбиване на думи, които не се вписват в ред, с помощта на тире). В новата версия производителността на трансфера е увеличена с 200% и сега практически няма ефект върху скоростта на изобразяване.
• Добавена е поддръжка за програмируеми графични шейдъри (обекти RuntimeShader), дефинирани в Android Graphics Shading Language (AGSL), който е подмножество на езика GLSL, адаптиран за използване с механизма за изобразяване на платформата Android. Подобни шейдъри вече се използват в самата платформа Android за прилагане на различни визуални ефекти, като вълни, замъгляване и разтягане при превъртане извън страницата. Подобни ефекти вече могат да се създават в приложения.
• Основните Java библиотеки на платформата и инструментите за разработка на приложения са актуализирани до OpenJDK 11. Актуализацията е достъпна и за устройства с Android 12 чрез Google Play.
• Като част от проекта Mainline, който ви позволява да актуализирате отделни системни компоненти, без да актуализирате цялата платформа, са подготвени нови системни модули с възможност за надграждане. Актуализациите засягат компоненти, които не са свързани с хардуера, които се изтеглят чрез Google Play отделно от OTA актуализациите на фърмуера от производителя. Сред новите модули, които могат да се актуализират през Google Play без актуализиране на фърмуера, са Bluetooth и Ultra wideband. Модули с инструмент за избор на снимки и OpenJDK 11 също се разпространяват чрез Google Play.
• Инструментите са оптимизирани за изграждане на изживяване с приложения за по-големи екрани на таблети, сгъваеми устройства с множество екрани и Chromebook.
• Тестването и отстраняването на грешки на нови функции на платформата е опростено. Промените вече могат да бъдат активирани избирателно за приложения в секцията с настройки за разработчици или чрез помощната програма adb.

Освен това е публикуван февруарският набор от корекции за проблеми със сигурността за Android, в който са елиминирани 37 уязвимости, от които 2 уязвимости са с критично ниво на опасност, а останалите са с високо ниво на опасност. Критичните проблеми ви позволяват да стартирате отдалечена атака, за да изпълните кода си в системата. Проблеми, маркирани като опасни, позволяват кодът да бъде изпълнен в контекста на привилегирован процес чрез манипулиране на локални приложения.

Първата критична уязвимост (CVE-2021-39675) е причинена от препълване на буфера във функцията GKI_getbuf (Generic Kernel Image) и позволява отдалечен привилегирован достъп до системата без никакви действия от страна на потребителя. Подробности за уязвимостта все още не са разкрити, но е известно, че проблемът засяга само клона на Android 12. Втората критична уязвимост (CVE-2021-30317) присъства в затворени компоненти за чипове на Qualcomm.

Източник: opennet.ru