Google rivelerà informazioni sulle vulnerabilità nei dispositivi Android di terze parti.

Azienda Google ha presentato iniziativa Vulnerabilità dei Partner Android, nell'ambito della quale verranno divulgati dati sulle vulnerabilità dei dispositivi Android di vari produttori OEM. L'iniziativa renderà più trasparente la comunicazione agli utenti riguardo alle vulnerabilità specifiche per le ROM modificate da parte di terzi.

Fino ad ora, nei rapporti ufficiali sulle vulnerabilità (Android Security Bulletins) sono state riportate solo problematiche nel codice sorgente fornito nel repository AOSP, senza considerare le problematiche specifiche delle modifiche dei produttori OEM. Già divulgate le problematiche interessano produttori come ZTE, Meizu, Vivo, OPPO, Digitime, Transsion e Huawei.

Tra i problemi identificati:

• Nei dispositivi Digitime, invece di controllare le autorizzazioni aggiuntive per accedere all'API del servizio di installazione degli aggiornamenti OTA è stata utilizzata una password hardcoded, che consente a un malintenzionato di installare silenziosamente pacchetti APK e modificare i diritti di accesso all'app.
• Nell'alternativo browser molto popolare tra alcuni produttori OEM Phoenix il gestore delle password è stato implementato sotto forma di codice JavaScript eseguito nel contesto di ogni pagina. Un sito controllato dall'attaccante poteva ottenere accesso completo allo storage delle password dell'utente, per la cui crittografia venivano utilizzati algoritmi insicuri DES e una chiave hardcoded.
• L'applicazione System UI sui dispositivi Meizu scaricava codice aggiuntivo dalla rete senza crittografia e verifica della connessione. Monitorando il traffico HTTP della vittima, l'attaccante poteva eseguire il proprio codice nel contesto dell'app.
• Nei dispositivi Vivo era presente ristrutturato un metodo checkUidPermission della classe PackageManagerService per concedere autorizzazioni aggiuntive ad alcune applicazioni, anche se tali autorizzazioni non erano specificate nel file di manifest. In una versione, il metodo concedeva qualsiasi autorizzazione alle applicazioni con l'identificatore com.google.uid.shared. In un'altra versione veniva eseguito un confronto dei nomi dei pacchetti in base a un elenco.

Fonte: opennet.ru