ਗੂਗਲ ਥਰਡ-ਪਾਰਟੀ ਐਂਡਰਾਇਡ ਡਿਵਾਈਸਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਖੁਲਾਸਾ ਕਰੇਗਾ

ਗੂਗਲ представила ਪਹਿਲਕਦਮੀ Android ਸਹਿਭਾਗੀ ਕਮਜ਼ੋਰੀ, ਜੋ ਵੱਖ-ਵੱਖ OEM ਨਿਰਮਾਤਾਵਾਂ ਤੋਂ Android ਡਿਵਾਈਸਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ 'ਤੇ ਡੇਟਾ ਦਾ ਖੁਲਾਸਾ ਕਰਨ ਦੀ ਯੋਜਨਾ ਬਣਾਉਂਦਾ ਹੈ। ਪਹਿਲਕਦਮੀ ਤੀਜੀ-ਧਿਰ ਨਿਰਮਾਤਾਵਾਂ ਤੋਂ ਸੋਧਾਂ ਦੇ ਨਾਲ ਫਰਮਵੇਅਰ ਲਈ ਖਾਸ ਕਮਜ਼ੋਰੀਆਂ ਬਾਰੇ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਇਸਨੂੰ ਹੋਰ ਪਾਰਦਰਸ਼ੀ ਬਣਾਵੇਗੀ।

ਹੁਣ ਤੱਕ, ਅਧਿਕਾਰਤ ਕਮਜ਼ੋਰੀ ਰਿਪੋਰਟਾਂ (ਐਂਡਰੌਇਡ ਸੁਰੱਖਿਆ ਬੁਲੇਟਿਨ) ਨੇ AOSP ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੇ ਕੋਰ ਕੋਡ ਵਿੱਚ ਸਿਰਫ ਮੁੱਦਿਆਂ ਨੂੰ ਹੀ ਪ੍ਰਤੀਬਿੰਬਤ ਕੀਤਾ ਹੈ, ਪਰ OEMs ਤੋਂ ਸੋਧਾਂ ਲਈ ਖਾਸ ਮੁੱਦਿਆਂ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਨਹੀਂ ਰੱਖਿਆ ਹੈ। ਪਹਿਲਾਂ ਹੀ ਪ੍ਰਗਟ ਕੀਤਾ ਸਮੱਸਿਆਵਾਂ ZTE, Meizu, Vivo, OPPO, Digitime, Transsion ਅਤੇ Huawei ਵਰਗੇ ਨਿਰਮਾਤਾਵਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀਆਂ ਹਨ।

ਪਛਾਣੀਆਂ ਗਈਆਂ ਸਮੱਸਿਆਵਾਂ ਵਿੱਚੋਂ:

• Digitime ਡਿਵਾਈਸਾਂ ਵਿੱਚ, OTA ਅੱਪਡੇਟ ਇੰਸਟਾਲੇਸ਼ਨ ਸੇਵਾ API ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਲਈ ਵਾਧੂ ਅਨੁਮਤੀਆਂ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਬਜਾਏ ਵਰਤਿਆ ਗਿਆ ਸੀ ਇੱਕ ਹਾਰਡਕੋਡ ਕੀਤਾ ਪਾਸਵਰਡ ਜੋ ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਚੁੱਪਚਾਪ ਏਪੀਕੇ ਪੈਕੇਜ ਸਥਾਪਤ ਕਰਨ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਅਨੁਮਤੀਆਂ ਨੂੰ ਬਦਲਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।
• ਇੱਕ ਵਿਕਲਪਿਕ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਕੁਝ OEMs ਨਾਲ ਪ੍ਰਸਿੱਧ ਹੈ ਫੀਨਿਕ੍ਸ ਪਾਸਵਰਡ ਪ੍ਰਬੰਧਕ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਸੀ JavaScript ਕੋਡ ਦੇ ਰੂਪ ਵਿੱਚ ਜੋ ਹਰੇਕ ਪੰਨੇ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਚੱਲਦਾ ਹੈ। ਹਮਲਾਵਰ ਦੁਆਰਾ ਨਿਯੰਤਰਿਤ ਇੱਕ ਸਾਈਟ ਉਪਭੋਗਤਾ ਦੇ ਪਾਸਵਰਡ ਸਟੋਰੇਜ ਤੱਕ ਪੂਰੀ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੀ ਹੈ, ਜੋ ਕਿ ਭਰੋਸੇਯੋਗ DES ਐਲਗੋਰਿਦਮ ਅਤੇ ਇੱਕ ਹਾਰਡ-ਕੋਡਡ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਏਨਕ੍ਰਿਪਟ ਕੀਤੀ ਗਈ ਸੀ।
• Meizu ਡਿਵਾਈਸਾਂ 'ਤੇ ਸਿਸਟਮ UI ਐਪਲੀਕੇਸ਼ਨ ਲੋਡ ਕੀਤਾ ਐਨਕ੍ਰਿਪਸ਼ਨ ਅਤੇ ਕਨੈਕਸ਼ਨ ਪੁਸ਼ਟੀਕਰਨ ਤੋਂ ਬਿਨਾਂ ਨੈੱਟਵਰਕ ਤੋਂ ਵਾਧੂ ਕੋਡ। ਪੀੜਤ ਦੇ HTTP ਟ੍ਰੈਫਿਕ ਦੀ ਨਿਗਰਾਨੀ ਕਰਕੇ, ਹਮਲਾਵਰ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਆਪਣਾ ਕੋਡ ਚਲਾ ਸਕਦਾ ਹੈ।
• ਵੀਵੋ ਡਿਵਾਈਸ ਸੀ ਦੁਬਾਰਾ ਕੀਤਾ ਕੁਝ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਵਾਧੂ ਅਨੁਮਤੀਆਂ ਦੇਣ ਲਈ PackageManagerService ਕਲਾਸ ਦੀ checkUidPermission ਵਿਧੀ, ਭਾਵੇਂ ਇਹ ਅਨੁਮਤੀਆਂ ਮੈਨੀਫੈਸਟ ਫਾਈਲ ਵਿੱਚ ਨਿਰਧਾਰਤ ਨਹੀਂ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ। ਇੱਕ ਸੰਸਕਰਣ ਵਿੱਚ, ਵਿਧੀ ਨੇ com.google.uid.shared ਪਛਾਣਕਰਤਾ ਨਾਲ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਕੋਈ ਵੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਹੈ। ਇੱਕ ਹੋਰ ਸੰਸਕਰਣ ਵਿੱਚ, ਅਨੁਮਤੀਆਂ ਦੇਣ ਲਈ ਪੈਕੇਜ ਨਾਮਾਂ ਦੀ ਸੂਚੀ ਦੇ ਵਿਰੁੱਧ ਜਾਂਚ ਕੀਤੀ ਗਈ ਸੀ।

ਸਰੋਤ: opennet.ru