Google wird Informationen über Schwachstellen in Drittanbieter-Android-Geräten offenlegen

Das Unternehmen Google hat Initiative Android Partner Vulnerability, im Rahmen dessen geplant ist, Informationen über Sicherheitsanfälligkeiten in Android-Geräten verschiedener OEM-Hersteller offenzulegen. Die Initiative wird die Transparenz darüber erhöhen, wie Benutzer über sicherheitsspezifische Vulnerabilitäten informiert werden, die in modifizierten Firmware-Versionen von Drittanbietern vorhanden sind.

Bisher wurden in den offiziellen Berichten über Sicherheitsanfälligkeiten (Android Security Bulletins) nur Probleme im Hauptcode, der im AOSP-Repository angeboten wird, erfasst, während Probleme, die spezifisch für Modifikationen von OEM-Herstellern sind, unberücksichtigt blieben. Bereits offenbare Probleme betreffen Hersteller wie ZTE, Meizu, Vivo, OPPO, Digitime, Transsion und Huawei.

Zu den festgestellten Problemen gehören:

• In Geräten von Digitime wurde anstelle einer Überprüfung zusätzlicher Berechtigungen für den Zugriff auf die API des OTA-Update-Dienstes ein hartcodierter Passwort verwendet, der es Angreifern ermöglicht, unauffällig APK-Pakete zu installieren und die Zugriffsrechte für die Anwendung zu ändern.
• In einem bei einigen OEM-Herstellern beliebten alternativen Browser Phoenix wurde der Passwortmanager in Form von JavaScript-Code umgesetzt, der im Kontext jeder Seite ausgeführt wird. Eine von Angreifern kontrollierte Website konnte vollen Zugriff auf den Passwortspeicher des Benutzers erhalten, für dessen Verschlüsselung unsichere Algorithmen wie DES und ein hartcodierter Schlüssel verwendet wurden. Die System UI-Anwendung auf Meizu-Geräten
• lud zusätzlichen Code aus dem Internet ohne Verschlüsselung und Validierung der Verbindung. Bei der Überwachung des HTTP-Verkehrs des Opfers konnte der Angreifer seinen Code im Kontext der Anwendung ausführen. In Vivo-Geräten wurde
• die Methode checkUidPermission der Klasse PackageManagerService vereinfacht um einigen Anwendungen zusätzliche Berechtigungen zu gewähren, selbst wenn diese Berechtigungen nicht in der Manifestdatei aufgeführt sind. In einer Version gewährte die Methode allen Anwendungen mit der ID com.google.uid.shared beliebige Berechtigungen. In einer anderen Version wurde die Berechtigungsvergabe durch Abgleich von Paketnamen in einer Liste durchgeführt.

Quelle: opennet.ru