Google iniciativa , que planea revelar datos sobre vulnerabilidades en dispositivos Android de varios fabricantes OEM. A iniciativa fará máis transparente para os usuarios sobre as vulnerabilidades específicas do firmware con modificacións de fabricantes de terceiros.
Ata agora, os informes oficiais de vulnerabilidade (Boletíns de seguridade de Android) só reflectían problemas no código principal ofrecido no repositorio de AOSP, pero non tiveron en conta cuestións específicas das modificacións dos OEM. Xa Os problemas afectan a fabricantes como ZTE, Meizu, Vivo, OPPO, Digitime, Transsion e Huawei.
Entre os problemas identificados:
- En dispositivos Digitime, en lugar de comprobar permisos adicionais para acceder á API do servizo de instalación de actualizacións OTA un contrasinal codificado que permite a un atacante instalar silenciosamente paquetes APK e cambiar os permisos das aplicacións.
- Nun navegador alternativo popular entre algúns OEM xestor de contrasinais en forma de código JavaScript que se executa no contexto de cada páxina. Un sitio controlado polo atacante podería ter acceso total ao almacenamento do contrasinal do usuario, que se cifraba mediante o pouco fiable algoritmo DES e unha clave codificada.
- Aplicación de IU do sistema en dispositivos Meizu código adicional da rede sen cifrado e verificación de conexión. Ao supervisar o tráfico HTTP da vítima, o atacante podería executar o seu código no contexto da aplicación.
- Dispositivos Vivo tiña checkUidPermission da clase PackageManagerService para conceder permisos adicionais a algunhas aplicacións, aínda que estes permisos non estean especificados no ficheiro de manifesto. Nunha versión, o método concedeu calquera permiso ás aplicacións co identificador com.google.uid.shared. Noutra versión, os nomes dos paquetes comparáronse cunha lista para conceder permisos.
Fonte: opennet.ru