Google divulguera les vulnérabilités des appareils Android tiers

Google présenté l'initiative Vulnérabilité des partenaires Android, qui prévoit de divulguer des données sur les vulnérabilités des appareils Android de divers fabricants OEM. L'initiative rendra plus transparente pour les utilisateurs les vulnérabilités spécifiques aux micrologiciels modifiés par des fabricants tiers.

Jusqu'à présent, les rapports officiels de vulnérabilités (Android Security Bulletins) reflétaient uniquement les problèmes liés au code principal proposé dans le référentiel AOSP, mais ne prenaient pas en compte les problèmes spécifiques aux modifications des OEM. Déjà révélé Les problèmes affectent des fabricants tels que ZTE, Meizu, Vivo, OPPO, Digitime, Transsion et Huawei.

Parmi les problèmes identifiés :

• Dans les appareils Digitime, au lieu de vérifier les autorisations supplémentaires pour accéder à l'API du service d'installation de mise à jour OTA a été utilisé un mot de passe codé en dur qui permet à un attaquant d'installer discrètement des packages APK et de modifier les autorisations des applications.
• Dans un navigateur alternatif populaire auprès de certains OEM Phénix gestionnaire de mot de passe a été mis en œuvre sous la forme de code JavaScript qui s'exécute dans le contexte de chaque page. Un site contrôlé par l'attaquant pourrait obtenir un accès complet au stockage du mot de passe de l'utilisateur, qui était crypté à l'aide de l'algorithme DES peu fiable et d'une clé codée en dur.
• Application d'interface utilisateur système sur les appareils Meizu chargé code supplémentaire du réseau sans cryptage ni vérification de connexion. En surveillant le trafic HTTP de la victime, l'attaquant pourrait exécuter son code dans le contexte de l'application.
• Les appareils Vivo avaient refait checkUidPermission de la classe PackageManagerService pour accorder des autorisations supplémentaires à certaines applications, même si ces autorisations ne sont pas spécifiées dans le fichier manifeste. Dans une version, la méthode accordait toutes les autorisations aux applications portant l'identifiant com.google.uid.shared. Dans une autre version, les noms de packages étaient comparés à une liste pour accorder des autorisations.

Source: opennet.ru