Google ќе ги открие пропустите на уредите со Android од трета страна

Google презентирани иницијатива Ранливост на партнерите на Android, која планира да открие податоци за пропусти во уредите со Android од различни производители на OEM. Иницијативата ќе ја направи потранспарентна за корисниците за ранливостите специфични за фирмверот со модификации од трети производители.

Досега, официјалните извештаи за ранливост (Андроид безбедносни билтени) ги рефлектираа само проблемите во основниот код понуден во складиштето AOSP, но не ги земаа предвид проблемите специфични за модификациите од OEM. Веќе откриени Проблемите ги засегаат производителите како ZTE, Meizu, Vivo, OPPO, Digitime, Transsion и Huawei.

Меѓу идентификуваните проблеми:

• Во уредите Digitime, наместо да ги проверувате дополнителните дозволи за пристап до API за инсталација на услугата за ажурирање OTA беше користено хардкодирана лозинка која му овозможува на напаѓачот тивко да инсталира АПК пакети и да ги менува дозволите за апликациите.
• Во алтернативен прелистувач популарен кај некои OEM Феникс менаџер за лозинки беше спроведен во форма на JavaScript код кој работи во контекст на секоја страница. Сајтот контролиран од напаѓачот би можел да добие целосен пристап до складиштето за лозинка на корисникот, кое било шифрирано со помош на несигурниот DES алгоритам и хард-кодираниот клуч.
• Системски интерфејс на уредите на Meizu натоварени дополнителен код од мрежата без шифрирање и проверка на врската. Со следење на HTTP сообраќајот на жртвата, напаѓачот може да го изврши својот код во контекст на апликацијата.
• Vivo уредите имаа преправен checkUidPermission метод на класата PackageManagerService за доделување дополнителни дозволи на некои апликации, дури и ако овие дозволи не се наведени во датотеката манифест. Во една верзија, методот дава какви било дозволи на апликациите со идентификаторот com.google.uid.shared. Во друга верзија, имињата на пакетите беа проверени со список за давање дозволи.

Извор: opennet.ru