Google la iniciativa , que planea revelar datos sobre vulnerabilidades en dispositivos Android de varios fabricantes OEM. La iniciativa hará más transparente para los usuarios las vulnerabilidades específicas del firmware con modificaciones de terceros fabricantes.
Hasta ahora, los informes oficiales de vulnerabilidad (Boletines de seguridad de Android) solo han reflejado problemas en el código central ofrecido en el repositorio de AOSP, pero no han tenido en cuenta problemas específicos de las modificaciones de los OEM. Ya Los problemas afectan a fabricantes como ZTE, Meizu, Vivo, OPPO, Digitime, Transsion y Huawei.
Entre los problemas identificados:
- En dispositivos Digitime, en lugar de verificar permisos adicionales para acceder a la API del servicio de instalación de actualizaciones OTA una contraseña codificada que permite a un atacante instalar silenciosamente paquetes APK y cambiar los permisos de las aplicaciones.
- En un navegador alternativo popular entre algunos OEM administrador de contraseñas en forma de código JavaScript que se ejecuta en el contexto de cada página. Un sitio controlado por el atacante podría obtener acceso completo al almacenamiento de contraseñas del usuario, que estaba cifrado utilizando el poco confiable algoritmo DES y una clave codificada.
- Aplicación de interfaz de usuario del sistema en dispositivos Meizu código adicional de la red sin cifrado y verificación de conexión. Al monitorear el tráfico HTTP de la víctima, el atacante podría ejecutar su código en el contexto de la aplicación.
- Los dispositivos Vivo tenían Método checkUidPermission de la clase PackageManagerService para otorgar permisos adicionales a algunas aplicaciones, incluso si estos permisos no están especificados en el archivo de manifiesto. En una versión, el método otorgaba permisos a aplicaciones con el identificador com.google.uid.shared. En otra versión, los nombres de los paquetes se comparaban con una lista para otorgar permisos.
Fuente: opennet.ru