Google algatus , mis plaanib avalikustada andmeid erinevate OEM-tootjate Android-seadmete haavatavuste kohta. Algatus muudab kasutajate jaoks läbipaistvamaks püsivara spetsiifiliste haavatavuste kohta, mida on muudetud kolmandate osapoolte tootjate poolt.
Seni on ametlikud haavatavuse aruanded (Androidi turvabülletäänid) kajastanud ainult AOSP hoidlas pakutava põhikoodi probleeme, kuid ei ole võtnud arvesse originaalseadmete tootjate modifikatsioonidega seotud probleeme. juba Probleemid puudutavad selliseid tootjaid nagu ZTE, Meizu, Vivo, OPPO, Digitime, Transsion ja Huawei.
Tuvastatud probleemide hulgas:
- Digitime'i seadmetes selle asemel, et kontrollida OTA värskenduse installiteenuse API-le juurdepääsuks lisaõigusi kõvakodeeritud parool, mis võimaldab ründajal APK pakette vaikselt installida ja rakenduste õigusi muuta.
- Mõne originaalseadmete tootjate seas populaarses alternatiivses brauseris paroolihaldur JavaScripti koodi kujul, mis töötab iga lehe kontekstis. Ründaja kontrollitav sait võis saada täieliku juurdepääsu kasutaja paroolisalvestusele, mis krüpteeriti ebausaldusväärse DES-algoritmi ja kõvakodeeritud võtmega.
- Süsteemi kasutajaliidese rakendus Meizu seadmetes lisakood võrgust ilma krüptimise ja ühenduse kontrollimiseta. Ohvri HTTP-liiklust jälgides saab ründaja käivitada oma koodi rakenduse kontekstis.
- Vivo seadmetel oli PackageManagerService klassi meetod checkUidPermission, et anda mõnele rakendusele täiendavaid õigusi, isegi kui neid õigusi pole manifestifailis määratud. Ühes versioonis andis meetod mis tahes load rakendustele identifikaatoriga com.google.uid.shared. Teises versioonis kontrolliti pakettide nimesid õiguste andmiseks loendis.
Allikas: opennet.ru