Google pobudo , ki namerava razkriti podatke o ranljivostih v napravah Android različnih proizvajalcev originalne opreme. Pobuda bo uporabnikom omogočila večjo preglednost glede ranljivosti, značilnih za vdelano programsko opremo s spremembami tretjih proizvajalcev.
Do zdaj so uradna poročila o ranljivostih (Android Security Bulletins) odražala le težave v osnovni kodi, ki je bila na voljo v repozitoriju AOSP, niso pa upoštevala težav, značilnih za spremembe proizvajalcev originalne opreme. Že Težave zadevajo proizvajalce, kot so ZTE, Meizu, Vivo, OPPO, Digitime, Transsion in Huawei.
Med ugotovljenimi težavami:
- V napravah Digitime namesto preverjanja dodatnih dovoljenj za dostop do API-ja storitve za namestitev posodobitev OTA trdo kodirano geslo, ki napadalcu omogoča tiho namestitev paketov APK in spreminjanje dovoljenj aplikacije.
- V alternativnem brskalniku, priljubljenem pri nekaterih proizvajalcih originalne opreme upravitelj gesel v obliki kode JavaScript, ki se izvaja v kontekstu vsake strani. Spletno mesto, ki ga nadzoruje napadalec, bi lahko pridobilo popoln dostop do uporabnikove shrambe gesel, ki je bila šifrirana z uporabo nezanesljivega algoritma DES in trdo kodiranega ključa.
- Aplikacija sistemskega uporabniškega vmesnika na napravah Meizu dodatna koda iz omrežja brez šifriranja in preverjanja povezave. S spremljanjem prometa HTTP žrtve lahko napadalec zažene svojo kodo v kontekstu aplikacije.
- Naprave Vivo so imele metodo checkUidPermission razreda PackageManagerService za dodelitev dodatnih dovoljenj nekaterim aplikacijam, tudi če ta dovoljenja niso navedena v datoteki manifesta. V eni različici je metoda podelila poljubna dovoljenja aplikacijam z identifikatorjem com.google.uid.shared. V drugi različici so bila imena paketov preverjena glede na seznam za podelitev dovoljenj.
Vir: opennet.ru