Spoločnosť Google iniciatívu , v rámci ktorého sa plánuje sprístupniť informácie o zraniteľnostiach na zariadeniach so systémom Android od rôznych výrobcov OEM. Iniciatíva spraví informovanie používateľov o zraniteľnostiach špecifických pre firmware od tretích strán transparentnejšie.
Doteraz sa v oficiálnych správach o zraniteľnostiach (Android Security Bulletins) zohľadňovali iba problémy v základnom kóde, ktorý bol navrhnutý v repozitári AOSP, bez ohľadu na problémy špecifické pre modifikácie od OEM výrobcov. Už problémy sa týkajú takých výrobcov, ako sú ZTE, Meizu, Vivo, OPPO, Digitime, Transsion a Huawei.
Medzi identifikovanými problémami sú:
- V zariadeniach Digitime nebola vykonaná kontrola dodatočných oprávnení na prístup k API služby inštalácie OTA aktualizácií pevne zakódovaný heslo, ktoré umožňuje útočníkovi nenápadne nainštalovať APK balíčky a zmeniť oprávnenia aplikácie.
- V populárnom alternatívnom prehliadači niektorých výrobcov OEM správca hesiel vo forme JavaScript kódu, ktorý sa spúšťa v kontexte každej stránky. Pod kontrolou útočníka mohla stránka získať plný prístup k úložisku hesiel používateľa, na ktorého šifrovanie bol použitý nespoľahlivý algoritmus DES a pevne zakódovaný kľúč.
- Aplikácia System UI na zariadeniach Meizu dodatočný kód z internetu bez šifrovania a overovania pripojenia. Pri kontrole HTTP prenosu obete mohol útočník spustiť svoj kód v kontexte aplikácie.
- V zariadeniach Vivo bol metóda checkUidPermission triedy PackageManagerService na poskytovanie dodatočných oprávnení niektorým aplikáciám, aj keď tieto oprávnenia neboli uvedené v súbore manifestu. V jednej verzii metóda poskytovala akékoľvek oprávnenia aplikáciám s identifikátorom com.google.uid.shared. V inej verzii sa na poskytnutie oprávnení vykonávala kontrola mien balíkov podľa zoznamu.
Zdroj: opennet.ru
