Google будет раскрывать сведения об уязвимостях в сторонних Android-устройствах

Компания Google представила инициативу Android Partner Vulnerability, в рамках которой планируется раскрывать данные об уязвимостях в Android-устройствах различных OEM-производителей. Инициатива сделает более прозрачным доведение до пользователей сведений об уязвимостях, специфичных для прошивок с модификациями от сторонних производителей.

До сих пор в официальных отчётах об уязвимостях (Android Security Bulletins) отражались только проблемы в основном коде, предложенном в репозитории AOSP, но не учитывались проблемы, специфичные для модификаций от OEM-производителей. Уже раскрытые проблемы затрагивают таких производителей, как ZTE, Meizu, Vivo, OPPO, Digitime, Transsion и Huawei.

Среди выявленных проблем:

• В устройствах Digitime вместо проверки дополнительных полномочий для доступа к API сервиса установки OTA-обновлений был использован жёстко прошитый пароль, позволяющий злоумышленнику незаметно установить APK-пакеты и поменять права доступа приложению.
• В пользующемся популярностью у некоторых OEM-производителей альтернативном браузере Phoenix менеджер паролей был реализован в форме JavaScript-кода, запускаемого в контексте каждой страницы. Подконтрольный атакующему сайт мог получить полный доступ к хранилищу паролей пользователя, для шифрования которого применялся ненадёжных алгоритм DES и жёстко прошитый ключ.
• Приложение System UI на устройствах Meizu загружало дополнительный код из сети без шифрования и верификации соединения. При контроле за HTTP-трафиком жертвы атакующий мог запустить свой код в контексте приложения.
• У устройствах Vivo был переделан метод checkUidPermission класса PackageManagerService для предоставления дополнительных полномочий некоторым приложениям, даже если эти полномочия не указаны в файле с манифестом. В одной версии метод предоставлял любые полномочия приложениям с идентификатором com.google.uid.shared. В другой версии для предоставления полномочий выполнялась сверка имён пакетов по списку.

Источник: opennet.ru