Google- ը նախաձեռնությունը , в рамках которой планируется раскрывать данные об уязвимостях в Android-устройствах различных OEM-производителей. Инициатива сделает более прозрачным доведение до пользователей сведений об уязвимостях, специфичных для прошивок с модификациями от сторонних производителей.
До сих пор в официальных отчётах об уязвимостях (Android Security Bulletins) отражались только проблемы в основном коде, предложенном в репозитории AOSP, но не учитывались проблемы, специфичные для модификаций от OEM-производителей. Уже проблемы затрагивают таких производителей, как ZTE, Meizu, Vivo, OPPO, Digitime, Transsion и Huawei.
Среди выявленных проблем:
- В устройствах Digitime вместо проверки дополнительных полномочий для доступа к API сервиса установки OTA-обновлений жёстко прошитый пароль, позволяющий злоумышленнику незаметно установить APK-пакеты и поменять права доступа приложению.
- В пользующемся популярностью у некоторых OEM-производителей альтернативном браузере գաղտնաբառի կառավարիչ в форме JavaScript-кода, запускаемого в контексте каждой страницы. Подконтрольный атакующему сайт мог получить полный доступ к хранилищу паролей пользователя, для шифрования которого применялся ненадёжных алгоритм DES и жёстко прошитый ключ.
- Приложение System UI на устройствах Meizu дополнительный код из сети без шифрования и верификации соединения. При контроле за HTTP-трафиком жертвы атакующий мог запустить свой код в контексте приложения.
- У устройствах Vivo был метод checkUidPermission класса PackageManagerService для предоставления дополнительных полномочий некоторым приложениям, даже если эти полномочия не указаны в файле с манифестом. В одной версии метод предоставлял любые полномочия приложениям с идентификатором com.google.uid.shared. В другой версии для предоставления полномочий выполнялась сверка имён пакетов по списку.
Source: opennet.ru