Google rivelerà informazioni sulle vulnerabilità nei dispositivi Android di terzi

Google ha presentato iniziativa Vulnerabilità dell'appartenenza Android, che prevede di rivelare informazioni sulle vulnerabilità dei dispositivi Android di vari produttori OEM. L'iniziativa renderà più trasparente la comunicazione agli utenti riguardo alle vulnerabilità specifiche dei firmware modificati da produttori terzi.

Fino ad ora, nei rapporti ufficiali sulle vulnerabilità (Android Security Bulletins) venivano riflettute solo le problematiche nel codice principale proposto nel repository AOSP, senza tenere conto delle problematiche specifiche per le modifiche dei produttori OEM. Già rivelati i problemi riguardano produttori come ZTE, Meizu, Vivo, OPPO, Digitime, Transsion e Huawei.

Tra i problemi individuati:

• Nei dispositivi Digitime, invece di una verifica delle autorizzazioni aggiuntive per l'accesso all'API del servizio di installazione degli aggiornamenti OTA è stata utilizzata una password hard-coded che permette agli aggressori di installare silenziosamente pacchetti APK e modificare i permessi dell'app.
• Nel browser alternativo popolare tra alcuni produttori OEM Phoenix gestore delle password è stata realizzata in forma di codice JavaScript eseguito nel contesto di ogni pagina. Un sito sotto il controllo dell'attaccante potrebbe ottenere accesso completo allo storage delle password dell'utente, per il cui criptaggio venivano utilizzati algoritmi inaffidabili come il DES e una chiave hardcoded.
• L'applicazione System UI nei dispositivi Meizu caricava codice aggiuntivo dalla rete senza crittografia e verifica della connessione. Monitorando il traffico HTTP della vittima, l'attaccante poteva eseguire il proprio codice nel contesto dell'applicazione.
• Nei dispositivi Vivo vi era ripensato il metodo checkUidPermission della classe PackageManagerService per concedere ulteriori autorizzazioni ad alcune applicazioni, anche se tali autorizzazioni non erano specificate nel file di manifesto. In una versione, il metodo concedeva qualsiasi autorizzazione alle applicazioni con l'ID com.google.uid.shared. In un'altra versione, per concedere autorizzazioni veniva eseguita una convalida dei nomi dei pacchetti rispetto a un elenco.

Fonte: opennet.ru