Google ले तेस्रो-पक्ष एन्ड्रोइड उपकरणहरूमा कमजोरीहरू खुलासा गर्नेछ

गूगल प्रस्तुत पहल एन्ड्रोइड साझेदार जोखिम, जसले विभिन्न OEM निर्माताहरूबाट एन्ड्रोइड उपकरणहरूमा कमजोरीहरूमा डेटा खुलासा गर्ने योजना बनाएको छ। यो पहलले तेस्रो-पक्ष निर्माताहरूबाट परिमार्जनहरू सहित फर्मवेयरमा विशेष कमजोरीहरूको बारेमा प्रयोगकर्ताहरूलाई थप पारदर्शी बनाउनेछ।

अहिलेसम्म, आधिकारिक भेद्यता रिपोर्टहरू (एन्ड्रोइड सुरक्षा बुलेटिनहरू) AOSP भण्डारमा प्रस्ताव गरिएको कोर कोडमा समस्याहरू मात्र प्रतिबिम्बित गरिएको छ, तर OEM बाट परिमार्जनहरूका लागि विशेष मुद्दाहरूलाई ध्यानमा राखेको छैन। पहिले नै खुलासा समस्याहरूले ZTE, Meizu, Vivo, OPPO, Digitime, Transsion र Huawei जस्ता उत्पादकहरूलाई असर गर्छ।

पहिचान गरिएका समस्याहरू मध्ये:

• Digitime यन्त्रहरूमा, OTA अद्यावधिक स्थापना सेवा API पहुँच गर्न थप अनुमतिहरू जाँच गर्नुको सट्टा प्रयोग गरिएको थियो एक हार्डकोड गरिएको पासवर्ड जसले आक्रमणकर्तालाई चुपचाप APK प्याकेजहरू स्थापना गर्न र अनुप्रयोग अनुमतिहरू परिवर्तन गर्न अनुमति दिन्छ।
• वैकल्पिक ब्राउजरमा केही OEM हरू लोकप्रिय छन् फिनिक्स पासवर्ड प्रबन्धक कार्यान्वयन भएको थियो प्रत्येक पृष्ठको सन्दर्भमा चल्ने JavaScript कोडको रूपमा। आक्रमणकारीद्वारा नियन्त्रित साइटले प्रयोगकर्ताको पासवर्ड भण्डारणमा पूर्ण पहुँच प्राप्त गर्न सक्छ, जुन अविश्वसनीय DES एल्गोरिथ्म र हार्ड-कोड गरिएको कुञ्जी प्रयोग गरेर इन्क्रिप्ट गरिएको थियो।
• Meizu उपकरणहरूमा प्रणाली UI अनुप्रयोग लोड गरिएको ईन्क्रिप्शन र जडान प्रमाणीकरण बिना नेटवर्कबाट अतिरिक्त कोड। पीडितको HTTP ट्राफिक निगरानी गरेर, आक्रमणकारीले अनुप्रयोगको सन्दर्भमा आफ्नो कोड चलाउन सक्छ।
• Vivo उपकरणहरू थिए पुनः गरियो केही अनुप्रयोगहरूलाई थप अनुमतिहरू प्रदान गर्न PackageManagerService वर्गको checkUidPermission विधि, यी अनुमतिहरू manifest फाइलमा निर्दिष्ट नभए पनि। एउटा संस्करणमा, विधिले com.google.uid.shared पहिचानकर्ता भएका अनुप्रयोगहरूलाई कुनै पनि अनुमति प्रदान गर्‍यो। अर्को संस्करणमा, प्याकेज नामहरू अनुमतिहरू प्रदान गर्नको लागि सूचीको विरुद्ध जाँच गरियो।

स्रोत: opennet.ru