גוגל תחשוף נקודות תורפה במכשירי אנדרואיד של צד שלישי

גוגל מוצג יוזמה פגיעות של שותפי אנדרואיד, שמתכננת לחשוף נתונים על נקודות תורפה במכשירי אנדרואיד מיצרני OEM שונים. היוזמה תהפוך את זה לשקוף יותר למשתמשים לגבי נקודות תורפה ספציפיות לקושחה עם שינויים מיצרני צד שלישי.

עד כה, דוחות פגיעות רשמיים (עלוני אבטחה של אנדרואיד) שיקפו רק בעיות בקוד הליבה המוצע במאגר AOSP, אך לא לקחו בחשבון בעיות ספציפיות לשינויים של יצרני OEM. כְּבָר גילה הבעיות משפיעות על יצרנים כמו ZTE, Meizu, Vivo, OPPO, Digitime, Transsion ו-Huawei.

בין הבעיות שזוהו:

• במכשירי Digitime, במקום לבדוק הרשאות נוספות לגשת ל-API של שירות התקנת עדכון OTA שומש סיסמה מקודדת המאפשרת לתוקף להתקין בשקט חבילות APK ולשנות הרשאות יישומים.
• בדפדפן אלטרנטיבי פופולרי בקרב חלק מהיצרנים פניקס מנהל סיסמאות יושמה בצורה של קוד JavaScript שפועל בהקשר של כל עמוד. אתר שנשלט על ידי התוקף יכול לקבל גישה מלאה לאחסון הסיסמאות של המשתמש, שהוצפן באמצעות אלגוריתם DES הלא אמין ומפתח מקודד קשיח.
• אפליקציית ממשק המשתמש של המערכת במכשירי Meizu עמוס קוד נוסף מהרשת ללא הצפנה ואימות חיבור. על ידי ניטור תעבורת ה-HTTP של הקורבן, התוקף יכול להריץ את הקוד שלו בהקשר של האפליקציה.
• למכשירי Vivo היו מחדש שיטת checkUidPermission של המחלקה PackageManagerService כדי להעניק הרשאות נוספות ליישומים מסוימים, גם אם הרשאות אלו אינן מצוינות בקובץ המניפסט. בגרסה אחת, השיטה העניקה הרשאות כלשהן ליישומים עם המזהה com.google.uid.shared. בגרסה אחרת, שמות החבילות נבדקו מול רשימה כדי להעניק הרשאות.

מקור: OpenNet.ru