Google inisiatif , anu ngarencanakeun pikeun nyingkab data ngeunaan kerentanan dina alat Android tina sababaraha pabrik OEM. Inisiatif éta bakal ngajantenkeun langkung transparan pikeun pangguna ngeunaan kerentanan khusus pikeun firmware kalayan modifikasi ti pabrik pihak katilu.
Nepi ka ayeuna, laporan kerentanan resmi (Buletin Kaamanan Android) ngan ukur nunjukkeun masalah dina kode inti anu ditawarkeun dina gudang AOSP, tapi henteu acan tumut kana masalah akun khusus pikeun modifikasi tina OEM. Geus Masalah mangaruhan pabrik sapertos ZTE, Meizu, Vivo, OPPO, Digitime, Transsion sareng Huawei.
Diantara masalah anu diidentifikasi:
- Dina alat Digitime, tinimbang mariksa idin tambahan pikeun ngakses API layanan pamasangan apdet OTA kecap akses hardcoded anu ngamungkinkeun panyerang masang pakét APK sareng ngarobih idin aplikasi.
- Dina browser alternatif populér kalayan sababaraha OEMs manajer sandi dina bentuk kode JavaScript anu dijalankeun dina konteks unggal halaman. Situs anu dikadalikeun ku panyerang tiasa nampi aksés pinuh kana panyimpen kecap konci pangguna, anu énkripsi nganggo algoritma DES anu teu tiasa dipercaya sareng konci anu disandi.
- Aplikasi System UI dina alat Meizu kode tambahan tina jaringan tanpa enkripsi sarta verifikasi sambungan. Ku ngawaskeun lalu lintas HTTP korban, panyerang tiasa ngajalankeun kode na dina konteks aplikasi.
- Alat Vivo kagungan metode checkUidPermission kelas PackageManagerService pikeun masihan idin tambahan pikeun sababaraha aplikasi, sanajan idin ieu teu dieusian dina file manifest. Dina hiji vérsi, métode éta masihan idin naon waé pikeun aplikasi anu nganggo identifier com.google.uid.shared. Dina versi anu sanés, nami pakét dipariksa kana daptar pikeun masihan idin.
sumber: opennet.ru