Google तृतीय-पक्ष Android डिव्हाइसेसमधील भेद्यता उघड करेल

Google सादर पुढाकार Android भागीदार भेद्यता, जे विविध OEM निर्मात्यांकडील Android उपकरणांमधील भेद्यतेवरील डेटा उघड करण्याची योजना आखत आहे. हा उपक्रम वापरकर्त्यांना तृतीय-पक्ष उत्पादकांकडून केलेल्या सुधारणांसह फर्मवेअरच्या विशिष्ट असुरक्षांबद्दल अधिक पारदर्शक बनवेल.

आत्तापर्यंत, अधिकृत भेद्यता अहवाल (Android सुरक्षा बुलेटिन) फक्त AOSP रेपॉजिटरीमध्ये ऑफर केलेल्या कोर कोडमधील समस्या प्रतिबिंबित करतात, परंतु OEM मधील बदलांसाठी विशिष्ट समस्या विचारात घेतल्या नाहीत. आधीच प्रकट समस्या ZTE, Meizu, Vivo, OPPO, Digitime, Transsion आणि Huawei सारख्या उत्पादकांना प्रभावित करतात.

ओळखलेल्या समस्यांपैकी:

• Digitime डिव्हाइसेसमध्ये, OTA अपडेट इंस्टॉलेशन सेवा API मध्ये प्रवेश करण्यासाठी अतिरिक्त परवानग्या तपासण्याऐवजी वापरले होते हार्डकोड केलेला पासवर्ड जो आक्रमणकर्त्याला शांतपणे APK पॅकेजेस स्थापित करण्यास आणि अनुप्रयोग परवानग्या बदलण्याची परवानगी देतो.
• काही OEM सह लोकप्रिय पर्यायी ब्राउझरमध्ये फिनिक्स पासवर्ड व्यवस्थापक अंमलबजावणी करण्यात आली JavaScript कोडच्या स्वरूपात जो प्रत्येक पृष्ठाच्या संदर्भात चालतो. आक्रमणकर्त्याद्वारे नियंत्रित केलेली साइट वापरकर्त्याच्या पासवर्ड स्टोरेजमध्ये पूर्ण प्रवेश मिळवू शकते, जी अविश्वसनीय DES अल्गोरिदम आणि हार्ड-कोडेड की वापरून कूटबद्ध केली गेली होती.
• Meizu डिव्हाइसेसवर सिस्टम UI अनुप्रयोग लोड केलेले एनक्रिप्शन आणि कनेक्शन सत्यापनाशिवाय नेटवर्कवरून अतिरिक्त कोड. पीडिताच्या HTTP रहदारीचे निरीक्षण करून, आक्रमणकर्ता अनुप्रयोगाच्या संदर्भात त्याचा कोड चालवू शकतो.
• Vivo उपकरणे होती पुन्हा केले काही ऍप्लिकेशन्सना अतिरिक्त परवानग्या देण्यासाठी PackageManagerService क्लासची checkUidPermission पद्धत, जरी या परवानग्या मॅनिफेस्ट फाइलमध्ये निर्दिष्ट केल्या नसल्या तरीही. एका आवृत्तीमध्ये, पद्धतीने com.google.uid.shared या अभिज्ञापकासह अनुप्रयोगांना कोणत्याही परवानग्या दिल्या. दुसर्‍या आवृत्तीमध्ये, परवानग्या देण्यासाठी पॅकेजची नावे यादीत तपासली गेली.

स्त्रोत: opennet.ru