Google initiativet , hvor der er planlagt at offentliggøre oplysninger om sårbarheder i Android-enheder fra forskellige OEM-producenter. Initiativet vil gøre det mere gennemsigtigt at informere brugerne om sårbarheder, der er specifikke for firmware med tredjepartsmén.
Indtil nu har officielle rapporter om sårbarheder (Android Security Bulletins) kun afspejlet problemer i den primære kode, der er foreslået i AOSP-repositoriet, men ikke taget højde for problemer, der er specifikke for modificeringer fra OEM-producenter. Allerede problemer berører producenter som ZTE, Meizu, Vivo, OPPO, Digitime, Transsion og Huawei.
Blandt de identificerede problemer:
- I Digitime-enheder blev der i stedet for kontrol af yderligere beføjelser til adgang til API'et for OTA-opdateringstjenesten et hårdt kodet password, der gjorde det muligt for en angriber diskret at installere APK-pakker og ændre applikationens adgangsrettigheder.
- I en populær alternativ browser blandt nogle OEM-producenter blev passwordmanageren i form af JavaScript-kode, der kører i konteksten af hver side. En angriber kunne få fuld adgang til brugerens password-lager fra et kontrolleret website, hvor der blev anvendt usikre algoritmer som DES og et hårdt kodet nøgle til kryptering.
- System UI-applikationen på Meizu-enheder ekstra kode fra nettet uden kryptering og verifikation af forbindelsen. Når der blev overvåget HTTP-trafikken for offeret, kunne angriberen køre sin kode i konteksten af applikationen.
- På Vivo-enheder var der metoden checkUidPermission i klassen PackageManagerService for at give yderligere beføjelser til nogle applikationer, selvom disse beføjelser ikke var angivet i manifestfilen. I en version gav metoden alle beføjelser til applikationer med identifikatoren com.google.uid.shared. I en anden version blev beføjelserne tildelt ved at matche pakkenavne på listen.
Kilde: opennet.ru
