Google initiativ , som syftar till att avslöja information om sårbarheter i Android-enheter från olika OEM-tillverkare. Initiativet kommer att göra det tydligare för användarna att få information om sårbarheter som är specifika för modifierade firmware från tredjepartsproducenter.
Tidigare har de officiella rapporterna om sårbarheter (Android Security Bulletins) endast inkluderat problem i källkoden som erbjuds i AOSP-repositoriet, utan att beakta problem som är specifika för OEM-tillverkares modifieringar. Redan problem berör tillverkare som ZTE, Meizu, Vivo, OPPO, Digitime, Transsion och Huawei.
Bland de identifierade problemen finns:
- I enheter från Digitime användes en hårdkodad lösenord istället för att kontrollera ytterligare behörigheter för att få åtkomst till API:n för OTA-uppdateringstjänsten ett hårt inprogrammerat lösenord, vilket tillåter en angripare att osynligt installera APK-paket och ändra behörigheterna för applikationen.
- I en populär alternativ webbläsare som används av vissa OEM-tillverkare lösenordshanteraren i form av JavaScript-kod som kördes i varje sidas kontext. Den kontrollerade webbplatsen kunde få full åtkomst till användarens lösenordshanterare, där osäkra algoritmer som DES och ett hårdkodad nyckel användes för kryptering.
- System UI-applikationen på Meizu-enheter extra kod från nätverket utan kryptering och verifiering av anslutningen. Genom att övervaka HTTP-trafiken kunde en angripare köra sin egen kod i applikationens kontext.
- I Vivo-enheter fanns det metoden checkUidPermission i klassen PackageManagerService för att ge ytterligare behörigheter till vissa applikationer, även om dessa behörigheter inte anges i manifestfilen. I en version gav metoden alla behörigheter till applikationer med identifieraren com.google.uid.shared. I en annan version gjordes en kontroll av paketnamnen mot en lista för att ge behörigheter.
Källa: opennet.ru
