Společnost Google iniciativu , v rámci které se plánuje zveřejnění informací o zranitelnostech v zařízeních Android různých OEM výrobců. Iniciativa učiní transparentnějším předávání informací uživatelům o zranitelnostech specifických pro modifikované firmware třetích stran.
Dosud se v oficiálních zprávách o zranitelnostech (Android Security Bulletins) odrážely pouze problémy v základním kódu nabídnutém v repozitáři AOSP, ale nebraly v úvahu problémy specifické pro modifikace od OEM výrobců. Již problémy se týkají výrobců, jako jsou ZTE, Meizu, Vivo, OPPO, Digitime, Transsion a Huawei.
Mezi zjištěnými problémy:
- V zařízeních Digitime místo kontroly dodatečných oprávnění pro přístup k API služby instalace OTA aktualizací tvrdě zakódované heslo, které umožnilo útočníkovi nenápadně instalovat balíčky APK a měnit přístupová práva aplikaci.
- V alternativním prohlížeči, který je oblíbený u některých OEM výrobců, správce hesel ve formě JavaScriptového kódu spouštěného v kontextu každé stránky. Stránka ovládaná útočníkem mohla získat úplný přístup k úložišti hesel uživatele, pro šifrování kterého byl použit nespolehlivý algoritmus DES a tvrdě zakódovaný klíč.
- Aplikace System UI v zařízeních Meizu dodatečný kód z sítě bez šifrování a verifikace spojení. Při kontrole HTTP provozu oběti mohl útočník spustit svůj kód v kontextu aplikace.
- U zařízení Vivo byl metoda checkUidPermission třídy PackageManagerService pro poskytování dodatečných oprávnění některým aplikacím, i když tato oprávnění nejsou uvedena v manifestačním souboru. V jedné verzi metoda poskytovala jakákoliv oprávnění aplikacím s identifikátorem com.google.uid.shared. V jiné verzi se pro poskytování oprávnění prováděla kontrola názvů balíčků podle seznamu.
Zdroj: opennet.ru
