A empresa Google iniciativa , na qual planeja-se divulgar informações sobre vulnerabilidades em dispositivos Android de vários fabricantes OEM. A iniciativa tornará mais transparente a transmissão de informações sobre vulnerabilidades específicas para firmware modificado por terceiros aos usuários.
Até agora, os relatórios oficiais sobre vulnerabilidades (Android Security Bulletins) refletiam apenas problemas no código principal fornecido no repositório AOSP, mas não levavam em conta problemas específicos de modificações de fabricantes OEM. Já as questões envolvem fabricantes como ZTE, Meizu, Vivo, OPPO, Digitime, Transsion e Huawei.
Entre os problemas identificados:
- Nos dispositivos Digitime, em vez de verificar as permissões adicionais para acessar a API do serviço de instalação de atualizações OTA, uma senha embutida, permitindo que um invasor instalasse APKs sorrateiramente e alterasse as permissões do aplicativo.
- No popular navegador alternativo utilizado por alguns fabricantes OEM, o gerenciador de senhas na forma de código JavaScript, executado no contexto de cada página. Um site controlado pelo atacante poderia obter acesso total ao armazenamento de senhas do usuário, onde algoritmos de criptografia inseguros DES e uma chave embutida eram utilizados.
- O aplicativo System UI nos dispositivos Meizu um código adicional da rede sem criptografia e verificação de conexão. Ao monitorar o tráfego HTTP da vítima, o atacante poderia executar seu código no contexto do aplicativo.
- Nos dispositivos Vivo, o método checkUidPermission da classe PackageManagerService para conceder permissões adicionais a alguns aplicativos, mesmo que essas permissões não estivessem especificadas no arquivo de manifesto. Em uma versão, o método concedia quaisquer permissões a aplicativos com o identificador com.google.uid.shared. Em outra versão, a verificação de permissões era feita comparando nomes de pacotes com uma lista.
Fonte: opennet.ru
