Google do të zbulojë dobësitë në pajisjet Android të palëve të treta

Google prezantuar iniciativë Dobësia e partnerit Android, i cili planifikon të zbulojë të dhëna për dobësitë në pajisjet Android nga prodhues të ndryshëm OEM. Nisma do ta bëjë atë më transparente për përdoruesit në lidhje me dobësitë specifike të firmuerit me modifikime nga prodhuesit e palëve të treta.

Deri më tani, raportet zyrtare të cenueshmërisë (Buletinet e Sigurisë së Android) kanë pasqyruar vetëm çështje në kodin bazë të ofruar në depon e AOSP, por nuk kanë marrë parasysh çështje specifike për modifikimet nga OEM. Tashmë zbuluar Problemet prekin prodhues të tillë si ZTE, Meizu, Vivo, OPPO, Digitime, Transsion dhe Huawei.

Ndër problemet e identifikuara:

• Në pajisjet Digitime, në vend që të kontrolloni lejet shtesë për të hyrë në API të shërbimit të instalimit të përditësimit OTA është përdorur një fjalëkalim i kodifikuar që lejon një sulmues të instalojë në heshtje paketat APK dhe të ndryshojë lejet e aplikacionit.
• Në një shfletues alternativ të njohur me disa OEM Feniks menaxher i fjalëkalimeve u zbatua në formën e kodit JavaScript që funksionon në kontekstin e çdo faqeje. Një sajt i kontrolluar nga sulmuesi mund të fitonte akses të plotë në ruajtjen e fjalëkalimit të përdoruesit, i cili ishte i koduar duke përdorur algoritmin jo të besueshëm DES dhe një çelës të koduar.
• Aplikimi UI i sistemit në pajisjet Meizu i ngarkuar kod shtesë nga rrjeti pa kriptim dhe verifikim të lidhjes. Duke monitoruar trafikun HTTP të viktimës, sulmuesi mund të ekzekutojë kodin e tij në kontekstin e aplikacionit.
• Pajisjet Vivo kishin ribërë Metoda checkUidPermission e klasës PackageManagerService për të dhënë leje shtesë për disa aplikacione, edhe nëse këto leje nuk janë të specifikuara në skedarin manifest. Në një version, metoda u jepte çdo leje aplikacioneve me identifikuesin com.google.uid.shared. Në një version tjetër, emrat e paketave u kontrolluan në një listë për të dhënë leje.

Burimi: opennet.ru