Google mpango , ambayo inapanga kufichua data kuhusu udhaifu katika vifaa vya Android kutoka kwa watengenezaji mbalimbali wa OEM. Mpango huo utaifanya iwe wazi zaidi kwa watumiaji kuhusu udhaifu mahususi kwa programu dhibiti na marekebisho kutoka kwa watengenezaji wengine.
Hadi sasa, ripoti rasmi za uwezekano wa kuathiriwa (Bulletin za Usalama za Android) zimeangazia tu masuala katika msimbo wa msingi unaopendekezwa katika hazina ya AOSP, lakini hazijazingatia masuala mahususi kwa marekebisho kutoka kwa OEMs. Tayari Matatizo huathiri watengenezaji kama vile ZTE, Meizu, Vivo, OPPO, Digitime, Transsion na Huawei.
Miongoni mwa matatizo yaliyotambuliwa:
- Katika vifaa vya Digitime, badala ya kuangalia ruhusa za ziada ili kufikia API ya usakinishaji wa sasisho la OTA nenosiri lenye msimbo gumu linaloruhusu mvamizi kusakinisha vifurushi vya APK kwa utulivu na kubadilisha ruhusa za programu.
- Katika kivinjari mbadala maarufu kwa baadhi ya OEMs meneja wa nenosiri katika mfumo wa msimbo wa JavaScript unaoendeshwa katika muktadha wa kila ukurasa. Tovuti inayodhibitiwa na mvamizi inaweza kupata ufikiaji kamili wa hifadhi ya nenosiri ya mtumiaji, ambayo ilisimbwa kwa njia fiche kwa kutumia algoriti ya DES isiyotegemewa na ufunguo wenye msimbo ngumu.
- Programu ya UI ya mfumo kwenye vifaa vya Meizu msimbo wa ziada kutoka kwa mtandao bila usimbaji fiche na uthibitishaji wa muunganisho. Kwa kufuatilia trafiki ya HTTP ya mwathiriwa, mshambuliaji anaweza kutekeleza msimbo wake katika muktadha wa programu.
- Vifaa vya Vivo vilikuwa na checkUidPermission mbinu ya darasa la PackageManagerService ili kutoa ruhusa za ziada kwa baadhi ya programu, hata kama ruhusa hizi hazijabainishwa katika faili ya maelezo. Katika toleo moja, mbinu ilitoa ruhusa yoyote kwa programu kwa kutumia kitambulisho com.google.uid.shared. Katika toleo lingine, majina ya vifurushi yalikaguliwa dhidi ya orodha ili kutoa ruhusa.
Chanzo: opennet.ru