Google rivelerà le vulnerabilità nei dispositivi Android di terze parti

Google presentato l'iniziativa Vulnerabilità del partner Android, che prevede di divulgare dati sulle vulnerabilità dei dispositivi Android di vari produttori OEM. L'iniziativa renderà più trasparente agli utenti le vulnerabilità specifiche del firmware con modifiche da parte di produttori di terze parti.

Fino ad ora, i rapporti ufficiali sulle vulnerabilità (Bollettini sulla sicurezza Android) riflettevano solo i problemi nel codice principale offerto nel repository AOSP, ma non prendevano in considerazione i problemi specifici delle modifiche apportate dagli OEM. Già rivelato I problemi riguardano produttori come ZTE, Meizu, Vivo, OPPO, Digitime, Transsion e Huawei.

Tra i problemi individuati:

• Nei dispositivi Digitime, invece di verificare autorizzazioni aggiuntive per accedere all'API del servizio di installazione degli aggiornamenti OTA era usato una password hardcoded che consente a un utente malintenzionato di installare silenziosamente pacchetti APK e modificare le autorizzazioni dell'applicazione.
• In un browser alternativo popolare tra alcuni OEM Phoenix gestore di password è stato implementato sotto forma di codice JavaScript che viene eseguito nel contesto di ciascuna pagina. Un sito controllato dall'aggressore potrebbe ottenere pieno accesso alla memorizzazione della password dell'utente, che è stata crittografata utilizzando l'inaffidabile algoritmo DES e una chiave codificata.
• Applicazione dell'interfaccia utente di sistema sui dispositivi Meizu caricato codice aggiuntivo dalla rete senza crittografia e verifica della connessione. Monitorando il traffico HTTP della vittima, l'aggressore potrebbe eseguire il proprio codice nel contesto dell'applicazione.
• I dispositivi Vivo avevano rifatto checkUidPermission della classe PackageManagerService per concedere autorizzazioni aggiuntive ad alcune applicazioni, anche se tali autorizzazioni non sono specificate nel file manifest. In una versione, il metodo concedeva tutte le autorizzazioni alle applicazioni con l'identificatore com.google.uid.shared. In un'altra versione, i nomi dei pacchetti venivano confrontati con un elenco per concedere le autorizzazioni.

Fonte: opennet.ru