Google divulguera des informations sur les vulnérabilités dans les appareils Android tiers

La société Google présentée l'initiative Vulnérabilité des partenaires Android, dans le cadre duquel il est prévu de révéler des informations sur les vulnérabilités des appareils Android de divers fabricants OEM. L'initiative rendra plus transparent la transmission des informations sur les vulnérabilités spécifiques aux firmwares modifiés par des tiers aux utilisateurs.

Jusqu'à présent, les rapports officiels sur les vulnérabilités (Bulletins de sécurité Android) ne reflétaient que les problèmes liés au code source principal proposé dans le dépôt AOSP, sans prendre en compte les problèmes spécifiques aux modifications des fabricants OEM. Déjà révélés les problèmes concernent des fabricants tels que ZTE, Meizu, Vivo, OPPO, Digitime, Transsion et Huawei.

Parmi les problèmes identifiés :

• Dans les appareils Digitime, au lieu de vérifier les autorisations supplémentaires pour accéder à l'API du service d'installation des mises à jour OTA, un mot de passe codé en dur a été utilisé, permettant à un attaquant d'installer silencieusement des paquets APK et de modifier les droits d'accès de l'application. Dans un navigateur alternatif populaire auprès de certains fabricants OEM,
• le gestionnaire de mots de passe Phoenix a été implémenté sous forme de code JavaScript, exécuté dans le contexte de chaque page. Un site contrôlé par un attaquant pouvait obtenir un accès complet au stockage des mots de passe de l'utilisateur, pour le chiffrement duquel un algorithme peu fiable, DES, et une clé codée en dur étaient utilisés. L'application System UI sur les appareils Meizu
• téléchargeait du code supplémentaire depuis le réseau sans chiffrement ni vérification de la connexion. Lors du contrôle du trafic HTTP de la victime, l'attaquant pouvait exécuter son propre code dans le contexte de l'application. Sur les appareils Vivo,
• la méthode checkUidPermission de la classe PackageManagerService a été modifiée pour accorder des autorisations supplémentaires à certaines applications, même si ces autorisations n'étaient pas mentionnées dans le fichier de manifeste. Dans une version, la méthode accordait toutes les autorisations aux applications avec l'identifiant com.google.uid.shared. Dans une autre version, pour accorder des autorisations, une vérification des noms de paquets était effectuée à partir d'une liste. La société Google a lancé une initiative 🥇Google révélera des informations sur les vulnérabilités des appareils Android tiers | ProHoster

Source : opennet.ru